Sårbarhet i plattformen for samarbeidende utvikling Forgejo, som tillater fjernkjøring av kode

Det er utgitt korrigerende versjoner av samarbeidsplattformen Forgejo 16.0.4 og 15.0.8, som fikser en kritisk sårbarhet (CVE ikke tildelt), som gjør det mulig for en ekstern angrepsmann å oppnå kjøring av sin egen kode på serveren. Administratorer av Forgejo-servere anbefales å oppdatere systemene sine umiddelbart og sørge for at det ikke finnes spor av kompromittering. Sårbarheten er forårsaket av manglende tilstrekkelig rensing ved opprettelse av nytt repository fra en mal.

For å forhindre innsetting av egne kommandoer ved behandling av brukerens mal, fjerner plattformen underkatalogen .git/ før den initierer et nytt git-repository på serveren. En angriper kan omgå denne fjerningen og oppnå oppretting av underkatalogen .git/ med sitt innhold ved å manipulere med variabelinnsetting i filer som ligger i katalogen .forgejo/template (for eksempel ved å sette inn «..../.git/hooks» i filstien). Ved påfølgende initiering av git-repositoryet vil Git bruke innstillinger fra underkatalogen .git/, som kan inkludere operasjoner som starter vilkårlige prosesser. Problemet er løst ved å fjerne underkatalogen .git/ ikke før variabler blir løsnet, men umiddelbart før «git init» startes.

I Gitea 1.25.5 ble en lignende sårbarhet (CVE-2026-25718) fikset i februar.

Kilde: opennet.ru