Vulnerability in the collaborative development platform Forgejo, allowing remote code execution.

Ir veikti labojumi sadarbības platformas Forgejo versijām 16.0.4 un 15.0.8, kuri novērš kritisku ievainojamību (CVE nav piešķirts), kas ļauj attālinātam uzbrucējam izpildīt savu kodu serverī. Serveru administrācijai ir ieteikts steidzami atjaunināt savas sistēmas un pārliecināties par kompromitācijas sekām. Ievainojamība radusies nepietiekamas tīrīšanas dēļ, veidojot jaunu repozitoriju no veidnes.

Lai novērstu savas komandas ievietošanu, apstrādājot lietotāja nodoto veidni, platforma izdzēš apakšdirektoriju .git/ pirms jauna git-repozitorija inicializēšanas uz serveri. Uzbrucējs varēja apiet šo dzēšanu un radīt apakšdirektoriju .git/ ar savu saturu, manipulējot ar mainiņu ievietošanu failos, kas atrodas direktorijā .forgejo/template (piemēram, aizvietojot «.. /.. / .git/hooks» faila ceļā). Turpmākajā git-repozitorija inicializēšanā Git piemēroja iestatījumus no apakšdirektorijas .git/, kuri varēja iekļaut operācijas, kas sāka patvaļīgus procesus. Problēma tika atrisināta, izdzēšot apakšdirektoriju .git/ nevis pirms mainīgo atklāšanas, bet tieši pirms «git init» izpildes.

Gitea 1.25.5 tika novērsta līdzīga ievainojamība (CVE-2026-25718) februārī.

Avots: opennet.lv