Matoleo ya viraka vya jukwaa la uundaji shirikishi la Forgejo, matoleo ya 16.0.4 na 15.0.8, yamechapishwa. Viraka hivi vinashughulikia udhaifu muhimu (CVE haijapewa) ambao unaweza kuruhusu mshambuliaji wa mbali kutekeleza msimbo kwenye seva. Wasimamizi wa seva za Forgejo wanashauriwa kusasisha mifumo yao mara moja na kuhakikisha hakuna dalili za maelewano. Udhaifu huo unasababishwa na ukosefu wa usafi sahihi wakati wa kuunda hazina mpya kutoka kwa kiolezo.
Ili kuzuia uingizwaji wa amri zake wakati wa kuchakata kiolezo kinachotolewa na mtumiaji, mfumo huondoa saraka ndogo ya .git/ kutoka kwake kabla ya kuanzisha hazina mpya ya git kwenye sevaMshambuliaji anaweza kukwepa ufutaji huu na kuunda saraka ndogo ya .git/ iliyo na maudhui yake mwenyewe kwa kubadilisha uingizwaji wa vigeu katika faili zilizo kwenye saraka ya .forgejo/template (kwa mfano, kwa kubadilisha "../../.git/hooks" kwenye njia ya faili). Baada ya uanzishaji unaofuata wa hazina ya Git, Git ingetumia mipangilio kutoka saraka ndogo ya .git/, ambayo inaweza kujumuisha shughuli zinazozindua michakato holela. Suala hili lilitatuliwa kwa kufuta saraka ndogo ya .git/ mara moja kabla ya kuendesha "git init," badala ya kabla ya upanuzi wa vigeu.
Katika Gitea 1.25.5, udhaifu kama huo (CVE-2026-25718) ulirekebishwa mwezi Februari.
Chanzo: opennet.ru
