Forgejo 协作开发平台 16.0.4 和 15.0.8 版本已发布补丁。这些补丁修复了一个严重漏洞（尚未分配 CVE 编号），该漏洞可能允许远程攻击者在服务器上执行代码。建议 Forgejo 服务器管理员立即更新系统，并确保系统未受到任何影响。该漏洞是由于使用模板创建新代码库时未进行适当的清理工作造成的。
为了防止在处理用户提供的模板时命令被替换，平台会在初始化新的 Git 仓库之前，从中删除 .git/ 子目录。 服务器攻击者可以通过篡改位于 .forgejo/template 目录中的文件变量替换（例如，将“../../.git/hooks”替换为文件路径），绕过此删除操作，并创建一个包含其自身内容的 .git/ 子目录。在后续的 Git 仓库初始化过程中，Git 会应用 .git/ 子目录中的设置，其中可能包含启动任意进程的操作。此问题通过在运行“git init”之前立即删除 .git/ 子目录（而不是在变量展开之前）来解决。
Gitea 1.25.5 中，类似的漏洞（CVE-2026-25718）已于 2 月份修复。
来源： opennet.ru
