Forgejo хамтын хөгжүүлэлтийн платформ 16.0.4 болон 15.0.8 хувилбаруудын нөхөөс хувилбарууд нийтлэгдсэн. Эдгээр нөхөөсүүд нь алсын халдагч сервер дээр код гүйцэтгэх боломжийг олгодог чухал эмзэг байдлыг (CVE оноогүй) арилгадаг. Forgejo серверийн админуудад системээ нэн даруй шинэчилж, ямар нэгэн эвдрэлийн ул мөр байхгүй эсэхийг шалгахыг зөвлөж байна. Эмзэг байдал нь загвараас шинэ репозитор үүсгэх үед зохих цэвэрлэгээ хийгээгүйгээс үүдэлтэй юм.
Хэрэглэгчийн өгсөн загварыг боловсруулах үед командуудыг орлуулахаас урьдчилан сэргийлэхийн тулд платформ нь шинэ git репозиторыг эхлүүлэхийн өмнө .git/ дэд санг устгадаг. серверХалдагч энэ устгалыг тойрч гарч, .forgejo/template санд байрлах файлуудад хувьсагчийн орлуулалтыг өөрчлөх замаар (жишээлбэл, файлын замд "../../.git/hooks" гэж орлуулах замаар) өөрийн агуулгыг агуулсан .git/ дэд санг үүсгэж болно. Дараа нь Git репозиторыг эхлүүлэх үед Git нь .git/ дэд сангаас тохиргоог хэрэгжүүлэх бөгөөд үүнд дурын процессуудыг эхлүүлэх үйлдлүүд багтаж болно. Энэ асуудлыг хувьсагчийн өргөтгөлийн өмнө биш харин "git init" ажиллуулахаас өмнө .git/ дэд санг устгаснаар шийдвэрлэсэн.
Gitea 1.25.5 хувилбарт ижил төстэй эмзэг байдлыг (CVE-2026-25718) 2-р сард зассан.
Эх сурвалж: opennet.ru
