Ranljivost u platformi za zajednički razvoj Forgejo koja omogućava daljinsko izvršavanje koda.

Objavljeni so popravljeni izdanji platforme za skupno razvijanje Forgejo 16.0.4 in 15.0.8, v katerih je bila odpravljena kritična ranljivost (CVE ni dodeljen), ki omogoča oddaljenemu napadalcu, da doseže izvajanje svoje kode na strežniku. Skrbnikom strežnikov Forgejo se priporoča, da takoj posodobijo svoje sisteme in preverijo morebitne sledi kompromitacije. Ranljivost je posledica pomanjkljivega čiščenja pri ustvarjanju novega repozitorija iz predloge.

Za preprečitev vstavljanja svojih ukazov pri obdelavi uporabniške predloge platforma odstrani poddirektorij .git/ pred inicializacijo novega git-repozitorija na strežnikom. Napadalec bi lahko obšel to odstranitev in dosegel ustvarjanje poddirektorija .git/ s svojim vsebinom preko manipulacije z vpetjem spremenljivk v datoteke, shranjene v imeniku .forgejo/template (na primer, z vpetjem „..//..//.git/hooks“ v pot do datoteke). Pri kasnejši inicializaciji git-repozitorija bi Git uporabil nastavitve iz poddirektorija .git/, ki bi lahko vključevale operacije, ki sprožijo poljubne procese. Problem je rešen z odstranitvijo poddirektorija .git/ neposredno pred zagon «git init«, ne da bi se najprej razkrile spremenljivke.

V Gitea 1.25.5 je bila podobna ranljivost (CVE-2026-25718) odpravljena februarja.

Izvor: opennet.ru