En sårbarhet i samarbetsplattformen Forgejo, som möjliggör fjärrkodkörning

Korrigerande versioner av plattformen för samarbete Forgejo 16.0.4 och 15.0.8 har publicerats, där en kritisk sårbarhet (CVE ej tilldelad) har åtgärdats, vilket gjorde det möjligt för en fjärrangripare att köra sin kod på servern. Administratörer av Forgejo-servrar rekommenderas att omedelbart uppdatera sina system och säkerställa att det inte finns några spår av kompromiss. Sårbarheten beror på bristande rensning vid skapande av ett nytt repository från en mall.

För att förhindra att egna kommandon infogas vid hantering av en användartillhandahållen mall, tar plattformen bort underkatalogen .git/ innan den initierar ett nytt git-repository på servern. En angripare kunde kringgå denna radering och få skapad en underkatalog .git/ med sitt innehåll genom att manipulera variabelinfogning i filer som är placerade i katalogen .forgejo/template (till exempel genom att infoga "..\/..\/.git\/hooks" i filvägen). Vid efterföljande initialisering av git-repositoriet tillämpade Git inställningar från underkatalogen .git/, vilket kunde inkludera operationer som startade godtyckliga processer. Problemet har åtgärdats genom att ta bort underkatalogen .git/ inte före avslöjande av variabler, utan direkt före körning av "git init".

En liknande sårbarhet (CVE-2026-25718) åtgärdades i Gitea 1.25.5 i februari.

Källa: opennet.ru