Профиль: Аноним (вход | регистрация) неRU opennet.me  
The OpenNET Project / Index page

[ новости /+++ | форум | теги |    ]

Уязвимость в платформе совместной разработки Forgejo, допускающая удалённое выполнение кода

11.09.2026 12:35 (MSK)

Опубликованы корректирующие выпуски платформы совместной разработки Forgejo 16.0.4 и 15.0.8, в которых устранена критическая уязвимость (CVE-2026-89094), позволяющая удалённому атакующему добиться выполнения своего кода на сервере. Администраторам серверов Forgejo рекомендовано срочно обновить свои системы и убедиться в отсутствии следов компрометации. Уязвимость вызвана отсутствием должной чистки при создании нового репозитория из шаблона.

Для предотвращения подстановки своих команд при обработке переданного пользователем шаблона, платформа удаляет из него подкаталог .git/ перед инициализацией нового git-репозитория на сервере. Атакующий мог обойти данное удаление и добиться создания подкаталога .git/ со своим содержимым через манипуляцию с подстановкой переменных в файлы, размещённые в директории .forgejo/template (например, через подстановку "../../.git/hooks" в файловый путь). При последующей инициализации git-репозитория Git применял настройки из подкаталога .git/, которые могли включать операции, запускающие произвольные процессы. Проблема решена через удаление подкаталога .git/ не перед раскрытием переменных, а непосредственно перед запуском "git init".

В Gitea 1.25.5 похожая уязвимость (CVE-2026-25718) была исправлена в феврале.

  1. Главная ссылка к новости (https://floss.social/@forgejo/...)
  2. OpenNews: Git-хостинг Codeberg запретил размещение проектов, созданных при помощи AI
  3. OpenNews: В Нидерландах на базе Forgejo создана платформа совместной разработки кода для госучреждений
  4. OpenNews: Готовность платформы совместной разработки Fedora Forge
  5. OpenNews: Доступна платформа совместной разработки Forgejo 13.0
Лицензия: CC BY 3.0
Короткая ссылка: https://opennet.ru/66253-forgejo
Ключевые слова: forgejo
При перепечатке указание ссылки на opennet.ru обязательно


Обсуждение (34) Ajax | 1 уровень | Линейный | +/- | Раскрыть всё | RSS
  • 1.1, Аноним (1), 13:34, 11/09/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • +1 +/
    Какая случайная случайность.
     
     
  • 2.15, Аноним (15), 20:16, 11/09/2026 [^] [^^] [^^^] [ответить]  
  • +/
    > через подстановку "../../.git/hooks"

    Ха-ха, событие, достойное разработчиков сабжа.

     
     
  • 3.22, penetrator (?), 03:19, 12/09/2026 [^] [^^] [^^^] [ответить]  
  • +2 +/
    path traversal - классика которую недооценивают, и которая больно бъет, я вообще сильно напрягаюсь работая со стандартами и путями, особенно с юникод в них
     
  • 2.20, Аноним (20), 00:02, 12/09/2026 [^] [^^] [^^^] [ответить]  
  • –6 +/
    Это закономерность. Если не используешь GitHub, - будешь страдать. От ограничений, доступности, цен и того, что тебе не залетят баг репорты, ведь ни у кого нет желания регаться на сотнях инстансев Форджео/гитлаб.
     
     
  • 3.21, penetrator (?), 03:18, 12/09/2026 [^] [^^] [^^^] [ответить]  
  • +1 +/
    я зарегился на KDE ни разу не пожалел
     
  • 3.27, нах. (?), 11:15, 12/09/2026 [^] [^^] [^^^] [ответить]  
  • –1 +/
    > ведь ни у кого нет желания регаться на сотнях инстансев Форджео/гитлаб.

    то ли дело вот желание принести шитхапу унитаз и туалетную бумагу и нотариально заверенный отпечаток ж0пы?
    Оно-то точно у всех неистребимо?

    Ну и да, вообще-то все еще остается обычный... email. Без регистраций и смс.

    Это если у кого-то вообще есть желание приносить тебе багрепорты, а не нажать кнопку форк и попросить ыы все паченить.

     
  • 3.29, Аноним (29), 13:29, 12/09/2026 [^] [^^] [^^^] [ответить]  
  • +/
    А кто мешает нормально вести разработку на локальном Forgejo и зеркалить изменения в официальный GitLab или, на крайний случай, GitHub? Так то вести сколь-либо серьёзную разработку на GitHub - весьма глупая затея
     
     
  • 4.32, нах. (?), 13:45, 12/09/2026 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > А кто мешает нормально вести разработку на локальном Forgejo

    противоречащие пунткы мешают. Нормально, вести разработку, медленныйлюбофф.

    > Так то вести сколь-либо серьёзную разработку на GitHub - весьма глупая затея

    Скорей расскажи это microsoft. Ну и еще тому миллиону проектов которые именно там ее и ведут, и без которых у тебя и запустить-то нечего.

     
  • 3.30, Сладкая булочка (?), 13:43, 12/09/2026 Скрыто ботом-модератором     [к модератору]
  • –2 +/
     

  • 1.2, Аноним (2), 14:17, 11/09/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    шайзе, я хочу читать не про очередную попытку сделать как гитлаб, а платформу для совместной разработки. Как vscode remote или для ревью МРов чтобы удобненько было, а не костыли над git
     
     
  • 2.5, Аноним (5), 16:16, 11/09/2026 [^] [^^] [^^^] [ответить]  
  • +/
    > Как vscode remote

    Это как через ФТП, кто последний тот и папа ?
    Или это все же совсем про другое ?

     
     
  • 3.6, Аноним (5), 16:18, 11/09/2026 [^] [^^] [^^^] [ответить]  
  • +/
    В описании вижу маркетинговый булщит типа containers, WSL и т.п. а сути так и не понял.
     
     
  • 4.8, Аноним (2), 16:47, 11/09/2026 Скрыто ботом-модератором     [к модератору]
  • +2 +/
     
  • 3.7, Аноним (2), 16:47, 11/09/2026 [^] [^^] [^^^] [ответить]  
  • +/
    в первую очередь Remote - SSH: Connects to any remote physical or virtual server over SSH
    ну и рядом Visual Studio Live Share
     
     
  • 4.9, Аноним (5), 18:13, 11/09/2026 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Чем это заменяет гит ?
    Повторяю вопрос - кто нажал CTRL+S тот и папа ?
     
     
  • 5.11, Аноним (5), 18:24, 11/09/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Попытаюсь внести ясность. Если 2 человека одновременно редактируют один файл.
    Кто главнее ?
     
     
  • 6.17, Аноним (17), 21:14, 11/09/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Видимо файл просто не запишется
     
  • 5.33, Смузихеб забывший пароль (?), 15:34, 12/09/2026 [^] [^^] [^^^] [ответить]  
  • +/
    а как это происходит, например, в яндекс/гугл-документах ?
    не помню, чтобы были серьёзные проблемы при онлайн-работе над одним документом, скажем, ворда
     
  • 2.14, User (??), 20:08, 11/09/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Оу. Так это whiteboard-wiki-task tracker начинать надо, без общей мета-информации о проекте не взлетит, а таскать её вот отдельным репозиторием - ну, такоэ.
     

  • 1.3, Аноним (3), 14:46, 11/09/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Нашли задний вход Forgejo.
     
     
  • 2.4, Аноним (1), 15:13, 11/09/2026 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Да оправдали название.  
     
     
  • 3.10, Аноним (10), 18:24, 11/09/2026 [^] [^^] [^^^] [ответить]  
  • –2 +/
    Можешь пояснить, каким боком "кузница" относится к "заднему входу"?
     
     
  • 4.18, Аноним (17), 21:15, 11/09/2026 Скрыто ботом-модератором     [к модератору]
  • +2 +/
     
  • 4.24, Аноним (15), 08:09, 12/09/2026 [^] [^^] [^^^] [ответить]  
  • +2 +/
    Поясню. У forge есть и такой смысл: "медленное продвижение". А вот jo - любимый, возлюбленный...
     
  • 3.12, Аноним (5), 18:31, 11/09/2026 [^] [^^] [^^^] [ответить]  
  • –3 +/
    Кто то жиденько обгадился.

    > Обзор от ИИ        Название платформы Forgejo не переводится отдельно на каждый язык мира, так как это имя собственное, однако оно создано на основе искусственного международного языка эсперанто и буквально переводится как «кузница»

     
     
  • 4.25, Аноним (15), 08:10, 12/09/2026 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Да-да, "кузница" :)

    forge - медленное продвижение
    jo - любимый, возлюбленный

     

  • 1.13, Аноним (5), 18:37, 11/09/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    А нахрена это использовать если есть gitea... которая форк gogs... который построил джек ?
    Ну гитею еще понятно (хотя тоже начинаю сомневаться), но дальше форки форков то ?
     
     
  • 2.16, Аноним (16), 20:53, 11/09/2026 [^] [^^] [^^^] [ответить]  
  • –1 +/
    можно экстраполировать это утверждение, нафига вся современная литература если все уже было у шекспира и пушкина, ну парочка фантастов еще чтото новое придумали 100 лет назад. Не удивлюсь если через 100 лет не придумают ничего нового, а все так же будут использовать форки форков форков той окаменелой фигни которую еще прадедушка пилил.
     
  • 2.23, Аноним (23), 04:00, 12/09/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Так там целая страничка есть
    https://forgejo.org/compare-to-gitea/
     
     
  • 3.28, нах. (?), 11:18, 12/09/2026 [^] [^^] [^^^] [ответить]  
  • +/
    о да, прекрасная страничка - пункт первый - песни о шв@60дке! Пункт второй - "Forgejo focuses on identifying and fixing security vulnerabilities", напоминаем - "в gitea была исправлена - аж в феврале".
    Дальше, собственно, читать незачем.

    Белки-истерички и борцуны с проклятым капитализмом опять нишмагли, да штош такоета?!

     

  • 1.19, Аноним (19), 22:10, 11/09/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • +1 +/
    Как там зайчики ушастенькие кодберги и сурсхаты? Не подломили ли их?
     
     
  • 2.31, нах. (?), 13:43, 12/09/2026 [^] [^^] [^^^] [ответить]  
  • –1 +/
    а как узнать-то, если никто туда и не заходит даже? труп трупа. Вряд ли кому даже и интересно ломать эти мертвые недоразумения.

     

  • 1.26, Аноним (26), 08:13, 12/09/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • –1 +/
    Для эксплуатации уязвимости понадобятся аутентификация и доступ на запись, во многих случаях Gitea/Forgejo регистрация закрыта.
     

     Добавить комментарий
    Имя:
    E-Mail:
    Текст:



    Партнёры:
    Inferno Solutions
    Hosting by Hoster.ru
    Хостинг:

    Закладки на сайте
    Проследить за страницей
    Created 1996-2026 by Maxim Chirkov
    Добавить новость, Поддержать