Опубліковано коригувальні випуски платформи спільної розробки Forgejo 16.0.4 і 15.0.8, у яких усунуто критичну вразливість (CVE не призначено), що дозволяє віддаленому атакувальному домогтися виконання свого коду на сервері. Адміністраторам серверів Forgejo рекомендовано терміново оновити свої системи та переконатись у відсутності слідів компрометації. Вразливість викликана відсутністю належного чищення під час створення нового репозиторію з шаблону.
Для запобігання підстановці своїх команд при обробці переданого користувачем шаблону, платформа видаляє з нього підкаталог .git/ перед ініціалізацією нового git-репозиторію на сервері. Атакуючий міг обійти дане видалення і домогтися створення підкаталогу .git/ зі своїм вмістом через маніпуляцію з підстановкою змінних файли, розміщені в директорії .forgejo/template (наприклад, через підстановку "../../.git/hooks" у файловий шлях). При подальшій ініціалізації git-репозиторію Git застосовував налаштування з підкаталогу .git/, які могли включати операції, що запускають довільні процеси. Проблема вирішена через видалення підкаталогу .git/ не перед розкриттям змінних, а перед запуском «git init».
У Gitea 1.25.5 схожу вразливість (CVE-2026-25718) було виправлено у лютому.
Джерело: opennet.ru
