Oppdateringsutgivelser for Forgejos samarbeidsplattform for utvikling, versjon 16.0.4 og 15.0.8, er publisert. Disse oppdateringene adresserer en kritisk sårbarhet (CVE ikke tildelt) som kan tillate en ekstern angriper å kjøre kode på serveren. Forgejo-serveradministratorer anbefales å umiddelbart oppdatere systemene sine og sørge for at det ikke er spor av kompromittering. Sårbarheten skyldes manglende skikkelig opprydding når man oppretter et nytt repositorium fra en mal.
For å forhindre at kommandoene erstattes når en brukerlevert mal behandles, fjerner plattformen underkatalogen .git/ fra den før et nytt git-repositorium initialiseres på serverEn angriper kunne omgå denne slettingen og opprette en .git/-underkatalog med sitt eget innhold ved å manipulere variabelsubstitusjon i filer som ligger i .forgejo/template-katalogen (for eksempel ved å erstatte "../../.git/hooks" i filbanen). Ved påfølgende initialisering av Git-depotet ville Git bruke innstillinger fra .git/-underkatalogen, som kunne inkludere operasjoner som starter vilkårlige prosesser. Dette problemet ble løst ved å slette .git/-underkatalogen rett før "git init" ble kjørt, i stedet for før variabelutvidelse.
I Gitea 1.25.5 ble en lignende sårbarhet (CVE-2026-25718) rettet i februar.
Kilde: opennet.ru
