Boli publikované záplaty platformy pre kolaboratívny vývoj Forgejo, verzie 16.0.4 a 15.0.8. Tieto záplaty riešia kritickú zraniteľnosť (nepriradené CVE), ktorá by mohla umožniť vzdialenému útočníkovi spustiť kód na serveri. Správcom servera Forgejo sa odporúča, aby okamžite aktualizovali svoje systémy a zabezpečili, aby neexistovali žiadne stopy po napadnutí. Zraniteľnosť je spôsobená nedostatočným vyčistením pri vytváraní nového repozitára zo šablóny.
Aby sa zabránilo nahradeniu svojich príkazov pri spracovaní šablóny dodanej používateľom, platforma pred inicializáciou nového git repozitára z nej odstráni podadresár .git/. serverÚtočník by mohol toto vymazanie obísť a vytvoriť podadresár .git/ obsahujúci svoj vlastný obsah manipuláciou so substitúciou premenných v súboroch nachádzajúcich sa v adresári .forgejo/template (napríklad nahradením „../../.git/hooks“ do cesty k súboru). Po následnej inicializácii repozitára Git by Git použil nastavenia z podadresára .git/, ktoré by mohli zahŕňať operácie spúšťajúce ľubovoľné procesy. Tento problém bol vyriešený vymazaním podadresára .git/ bezprostredne pred spustením príkazu „git init“, a nie pred rozšírením premenných.
V Gitea 1.25.5 bola vo februári opravená podobná zraniteľnosť (CVE-2026-25718).
Zdroj: opennet.ru
