Опубликованы корректирующие выпуски платформы совместной разработки Forgejo 16.0.4 и 15.0.8, в которых устранена критическая уязвимость (CVE не назначен), позволяющая удалённому атакующему добиться выполнения своего кода на сервере. Администраторам серверов Forgejo рекомендовано срочно обновить свои системы и убедится в отсутствии следов компрометации. Уязвимость вызвана отсутствием должной чистки при создании нового репозитория из шаблона.
Для предотвращения подстановки своих команд при обработке переданного пользователем шаблона, платформа удаляет из него подкаталог .git/ перед инициализацией нового git-репозитория на serwerze. Атакующий мог обойти данное удаление и добиться создания подкаталога .git/ со своим содержимым через манипуляцию с подстановкой переменных в файлы, размещённые в директории .forgejo/template (например, через подстановку «../../.git/hooks» в файловый путь). При последующей инициализации git-репозитория Git применял настройки из подкаталога .git/, которые могли включать операции, запускающие произвольные процессы. Проблема решена через удаление подкаталога .git/ не перед раскрытием переменных, а непосредственно перед запуском «git init».
В Gitea 1.25.5 похожая уязвимость (CVE-2026-25718) была исправлена в феврале.
Źródło: opennet.ru
