Boli zverejnené opravné vydania platformy pre spoluprácu Forgejo 16.0.4 a 15.0.8, v ktorých bola odstránená kritická zraniteľnosť (CVE nebol pridelený), umožňujúca vzdialenému útočníkovi dosiahnuť vykonanie svojho kódu na serveri. Administrátorom serverov Forgejo sa odporúča naliehavo aktualizovať svoje systémy a uistiť sa, že neexistujú žiadne stopy po kompromitácii. Zraniteľnosť bola spôsobená nedostatočným čistením pri vytváraní nového repozitára zo šablóny.
Aby sa predišlo substitúcii svojich príkazov pri spracovaní používateľom poskytnutej šablóny, platforma odstraňuje z nej podpriečinok .git/ pred inicializáciou nového git-repozitára na serveri. Útočník mohol obísť toto odstránenie a dosiahnuť vytvorenie podpriečinka .git/ so svojim obsahom manipuláciou so substitúciou premenných v súboroch umiestnených v adresári .forgejo/template (napríklad prostredníctvom substitúcie „../.. / .git/hooks“ v súborovej ceste). Pri následnej inicializácii git-repozitára Git aplikoval nastavenia z podpriečinka .git/, ktoré mohli zahrňovať operácie spúšťajúce ľubovoľné procesy. Problém bol vyriešený odstránením podpriečinka .git/ nie pred odhalením premenných, ale priamo pred spustením „git init“.
Vo verzii Gitea 1.25.5 bola podobná zraniteľnosť (CVE-2026-25718) opravená vo februári.
Zdroj: opennet.ru
