Foram publicadas versões corretivas das plataformas de desenvolvimento colaborativo Forgejo 16.0.4 e 15.0.8, que corrigem uma vulnerabilidade crítica (CVE não designado), permitindo que um atacante remoto consiga executar seu código no servidor. Os administradores dos servidores Forgejo são recomendados a atualizar urgentemente seus sistemas e verificar a ausência de indícios de comprometimento. A vulnerabilidade foi causada pela falta de uma limpeza adequada ao criar um novo repositório a partir de um modelo.
Para evitar a inserção de comandos durante o processamento de um modelo enviado pelo usuário, a plataforma remove o subdiretório .git/ antes de inicializar um novo repositório git em servidor. O atacante poderia contornar essa remoção e criar um subdiretório .git/ com seu conteúdo através da manipulação da inserção de variáveis em arquivos localizados no diretório .forgejo/template (por exemplo, através da inserção «..../.git/hooks» no caminho do arquivo). Na subsequente inicialização do repositório git, o Git aplicava configurações do subdiretório .git/, que poderiam incluir operações que iniciam processos arbitrários. O problema foi resolvido através da remoção do subdiretório .git/ não antes da revelação das variáveis, mas diretamente antes da execução do ‘git init’.
Na Gitea 1.25.5, uma vulnerabilidade semelhante (CVE-2026-25718) foi corrigida em fevereiro.
Fonte: opennet.ru
