Ir publicēti Forgejo sadarbības izstrādes platformas ielāpu laidieni, versijas 16.0.4 un 15.0.8. Šie ielāpi novērš kritisku ievainojamību (CVE nav piešķirts), kas varētu ļaut attālam uzbrucējam izpildīt kodu serverī. Forgejo serveru administratoriem ieteicams nekavējoties atjaunināt savas sistēmas un pārliecināties, ka nav nekādu kompromitēšanas pazīmju. Ievainojamību izraisa pienācīgas tīrīšanas trūkums, veidojot jaunu repozitoriju no veidnes.
Lai novērstu komandu aizstāšanu, apstrādājot lietotāja sniegtu veidni, platforma pirms jauna git repozitorija inicializācijas noņem no tās apakšdirektoriju .git/. serverisUzbrucējs varētu apiet šo dzēšanu un izveidot apakšdirektoriju .git/ ar savu saturu, manipulējot ar mainīgo aizstāšanu failos, kas atrodas direktorijā .forgejo/template (piemēram, aizstājot faila ceļu ar "../../.git/hooks"). Pēc nākamās Git repozitorija inicializācijas Git lietotu iestatījumus no apakšdirektorija .git/, kas varētu ietvert darbības, kas palaiž patvaļīgus procesus. Šī problēma tika atrisināta, dzēšot apakšdirektoriju .git/ tieši pirms "git init" palaišanas, nevis pirms mainīgo paplašināšanas.
Gitea 1.25.5 versijā līdzīga ievainojamība (CVE-2026-25718) tika novērsta februārī.
Avots: opennet.ru
