Các bản vá lỗi cho nền tảng phát triển cộng tác Forgejo, phiên bản 16.0.4 và 15.0.8, đã được phát hành. Các bản vá này khắc phục một lỗ hổng nghiêm trọng (chưa được gán mã CVE) có thể cho phép kẻ tấn công từ xa thực thi mã trên máy chủ. Các quản trị viên máy chủ Forgejo được khuyến cáo nên cập nhật hệ thống của họ ngay lập tức và đảm bảo không còn dấu vết xâm nhập. Lỗ hổng này do thiếu bước dọn dẹp thích hợp khi tạo kho lưu trữ mới từ mẫu.
Để ngăn chặn việc thay thế các lệnh khi xử lý mẫu do người dùng cung cấp, nền tảng sẽ xóa thư mục con .git/ khỏi đó trước khi khởi tạo kho lưu trữ git mới. người phục vụKẻ tấn công có thể vượt qua bước xóa này và tạo thư mục con .git/ chứa nội dung riêng bằng cách thao tác thay thế biến trong các tệp nằm trong thư mục .forgejo/template (ví dụ: bằng cách thay thế "../../.git/hooks" vào đường dẫn tệp). Khi khởi tạo kho lưu trữ Git sau đó, Git sẽ áp dụng các thiết lập từ thư mục con .git/, có thể bao gồm các thao tác khởi chạy các tiến trình tùy ý. Vấn đề này đã được giải quyết bằng cách xóa thư mục con .git/ ngay trước khi chạy "git init", thay vì trước khi mở rộng biến.
Trong Gitea 1.25.5, một lỗ hổng tương tự (CVE-2026-25718) đã được khắc phục vào tháng Hai.
Nguồn: opennet.ru
