Forgejo hamkorlikdagi ishlab chiqish platformasining 16.0.4 va 15.0.8 versiyalaridagi yamoq versiyalari e'lon qilindi. Ushbu yamalar masofaviy hujumchiga serverda kodni bajarishga imkon beradigan muhim zaiflikni (CVE tayinlanmagan) bartaraf etadi. Forgejo server administratorlariga tizimlarini darhol yangilash va hech qanday buzilish izlari yo'qligiga ishonch hosil qilish tavsiya etiladi. Zaiflik shablondan yangi ombor yaratishda to'g'ri tozalashning yo'qligidan kelib chiqadi.
Foydalanuvchi tomonidan taqdim etilgan shablonni qayta ishlashda buyruqlarining almashtirilishini oldini olish uchun platforma yangi git omborini ishga tushirishdan oldin undan .git/ pastki katalogini olib tashlaydi. serverHujumchi bu o'chirishni chetlab o'tib, .forgejo/template katalogida joylashgan fayllarda o'zgaruvchini almashtirishni boshqarish orqali (masalan, fayl yo'liga "../../.git/hooks" ni almashtirish orqali) o'z tarkibini o'z ichiga olgan .git/ kichik katalogini yaratishi mumkin. Keyingi Git omborini ishga tushirgandan so'ng, Git .git/ kichik katalogidan sozlamalarni qo'llaydi, bu ixtiyoriy jarayonlarni ishga tushiradigan operatsiyalarni o'z ichiga olishi mumkin. Bu muammo o'zgaruvchini kengaytirishdan oldin emas, balki "git init" ni ishga tushirishdan oldin darhol .git/ kichik katalogini o'chirish orqali hal qilindi.
Gitea 1.25.5 da shunga o'xshash zaiflik (CVE-2026-25718) fevral oyida tuzatildi.
Manba: opennet.ru
