Au fost publicate actualizări corective pentru platforma de dezvoltare colaborativă Forgejo 16.0.4 și 15.0.8, în care a fost rezolvată o vulnerabilitate critică (CVE nesolicitat), care permite unui atacator de la distanță să își execute codul pe server. Administratorii serverelor Forgejo sunt sfătuiți să își actualizeze urgent sistemele și să se asigure că nu există urme de compromitere. Vulnerabilitatea a fost cauzată de lipsa unei curățări adecvate la crearea unui nou repository dintr-un șablon.
Pentru a preveni substituirea comenzilor sale în timpul procesării unui șablon transmis de utilizator, platforma elimină subdirectorul .git/ înainte de inițializarea unui nou git-repository pe server. Atacatorul ar fi putut ocolea această eliminare și ar fi putut crea un subdirector .git/ cu propriul său conținut prin manipularea substituției variabilelor în fișierele aflate în directorul .forgejo/template (de exemplu, prin substituția „..../..../.git/hooks” în calea fișierului). La inițializarea ulterioară a git-repository-ului, Git aplica setările din subdirectorul .git/, care ar fi putut include operațiuni ce încep procese arbitrare. Problema a fost rezolvată prin eliminarea subdirectorului .git/ nu înainte de a dezvălui variabilele, ci imediat înainte de a rula „git init”.
În Gitea 1.25.5 o vulnerabilitate similară (CVE-2026-25718) a fost corectată în februarie.
Sursa: opennet.ro
