CVE-2025-68937
KrytyczneStreszczenie
Forgejo przed wersją 13.0.2 pozwala atakującym na zapis do nieprzeznaczonych plików oraz prawdopodobnie uzyskanie dostępu do powłoki serwera z powodu nieprawidłowego obsługiwania celów dowiązań symbolicznych poza repozytorium dla repozytoriów szablonów. Poprawka jest również dostępna dla wersji 11 LTS w 11.0.7 i późniejszych.
Ocena ryzyka
Atakujący może zapisywać pliki poza repozytorium, co może prowadzić do modyfikacji krytycznych plików systemowych lub uzyskania zdalnego dostępu do serwera.
Rekomendacja
Należy zaktualizować Forgejo do wersji 13.0.2 lub nowszej, a dla wersji 11 LTS do 11.0.7 lub nowszej.
Oryginalny opis (angielski, źródło NVD)
Forgejo before 13.0.2 allows attackers to write to unintended files, and possibly obtain server shell access, because of mishandling of out-of-repository symlink destinations for template repositories. This is also fixed for 11 LTS in 11.0.7 and later.