CVE-2026-119545

Forgejo do wersji 15.0.11, 16.0.0 do 16.0.7 oraz 17.0.0 do 17.0.1 zawiera podatność na ujawnienie informacji w obsłudze API GetPublicKey, która nie sprawdza własności przy wyszukiwaniu kluczy. Uwierzytelnieni użytkownicy z tokenem read:user lub sesją mogą wyliczać sekwencyjne identyfikatory kluczy, aby uzyskać tytuły, odciski palców i materiał klucza publicznego kluczy SSH, wdrożeniowych i głównych innych użytkowników.

Forgejo do wersji 15.0.11, 16.0.0 do 16.0.7 oraz 17.0.0 do 17.0.1 zawiera podatność na path traversal w restore-repo, która pozwala atakującym odczytać pliki poza katalogiem zrzutu poprzez spreparowane ścieżki zasobów. Atakujący mogą dostarczyć zrzut, którego release.yml DownloadURL lub PatchURL zawiera sekwencje ../, importując pliki takie jak app.ini jako załączniki wydania, gdy administrator je przywraca.

Forgejo w wersjach przed 16.0.4 pozwala na zdalne wykonanie kodu poprzez spreparowane repozytorium szablonów, ponieważ rozwijanie szablonów na plikach w .forgejo/template jest nieprawidłowo obsługiwane.

Forgejo przed wersją 13.0.2 pozwala atakującym na zapis do nieprzeznaczonych plików oraz prawdopodobnie uzyskanie dostępu do powłoki serwera z powodu nieprawidłowego obsługiwania celów dowiązań symbolicznych poza repozytorium dla repozytoriów szablonów. Poprawka jest również dostępna dla wersji 11 LTS w 11.0.7 i późniejszych.

Forgejo w wersjach 13.0.0 do 16.0.4, gdy ustawiono "[federation] ENABLED = true", ma problem z podszywaniem się wpływający na integralność tożsamości, ale nie pozwalający na przejęcie konta ani modyfikację treści. Nie weryfikuje, czy podpis HTTP przychodzącej aktywności ActivityPub został wytworzony przez klucz należący do aktora wskazanego w treści. Zdalny atakujący z jednym ważnym aktorem ActivityPub i parą kluczy może przesyłać aktywności z podpisem ważnym, ale przypisane do dowolnej tożsamości.

W Forgejo przed wersją 16.0.4 istnieje możliwość użycia ograniczonych tokenów API do niezamierzonego dostępu do funkcji "allow maintainer edit".

Podatność w Forgejo do wersji 15.0.4 w funkcji net.LookupIP w pliku is_migrate_allowed.go umożliwia zdalny atak typu server-side request forgery (SSRF). Atak może być przeprowadzony zdalnie, a exploit jest publiczny.

Forgejo przed wersją 15.0.3 zawiera podatność na trwałe ataki XSS, umożliwiającą uwierzytelnionym atakującym wykonanie dowolnego kodu JavaScript w przeglądarkach innych użytkowników. Atak polega na ustawieniu pełnej nazwy zawierającej ładunek HTML i uruchomieniu zadania Actions. Gdy opcja DEFAULT_SHOW_FULL_NAME jest włączona, opis zadania jest składany po stronie serwera z nazwą użytkownika wstawioną do ciągu HTML przez funkcję tłumaczącą, która nie escapuje argumentów, a frontend renderuje wynik za pomocą wiązania v-html Vue, co powoduje wykonanie skryptu dla każdego użytkownika przeglądającego stronę dotkniętego zadania Actions.