CVE-2026-59102
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
Forgejo przed wersją 15.0.3 zawiera podatność na trwałe ataki XSS, umożliwiającą uwierzytelnionym atakującym wykonanie dowolnego kodu JavaScript w przeglądarkach innych użytkowników. Atak polega na ustawieniu pełnej nazwy zawierającej ładunek HTML i uruchomieniu zadania Actions. Gdy opcja DEFAULT_SHOW_FULL_NAME jest włączona, opis zadania jest składany po stronie serwera z nazwą użytkownika wstawioną do ciągu HTML przez funkcję tłumaczącą, która nie escapuje argumentów, a frontend renderuje wynik za pomocą wiązania v-html Vue, co powoduje wykonanie skryptu dla każdego użytkownika przeglądającego stronę dotkniętego zadania Actions.
Ocena ryzyka
Ryzyko polega na możliwości kradzieży sesji, przejęcia kont lub wycieku danych wrażliwych w organizacji, ponieważ atakujący może wykonać dowolny skrypt w kontekście przeglądarki ofiary, która ma dostęp do Forgejo.
Rekomendacja
Należy natychmiast zaktualizować Forgejo do wersji 15.0.3 lub nowszej. Dodatkowo, jeśli to możliwe, wyłącz opcję DEFAULT_SHOW_FULL_NAME do czasu aktualizacji.
Inne podatności w Forgejo
Zobacz wszystkie- CVE-2026-89094Krytyczne
Forgejo w wersjach przed 16.0.4 pozwala na zdalne wykonanie kodu poprzez spreparowane repozytorium szablonów, ponieważ rozwijanie szablonów na plikach w .forgejo/template jest nieprawidłowo obsługiwane.
- CVE-2025-68937Krytyczne
Forgejo przed wersją 13.0.2 pozwala atakującym na zapis do nieprzeznaczonych plików oraz prawdopodobnie uzyskanie dostępu do powłoki serwera z powodu nieprawidłowego obsługiwania celów dowiązań symbolicznych poza repozytorium dla repozytoriów szablonów. Poprawka jest również dostępna dla wersji 11 LTS w 11.0.7 i późniejszych.
- CVE-2026-90679Średnie
Forgejo w wersjach 13.0.0 do 16.0.4, gdy ustawiono "[federation] ENABLED = true", ma problem z podszywaniem się wpływający na integralność tożsamości, ale nie pozwalający na przejęcie konta ani modyfikację treści. Nie weryfikuje, czy podpis HTTP przychodzącej aktywności ActivityPub został wytworzony przez klucz należący do aktora wskazanego w treści. Zdalny atakujący z jednym ważnym aktorem ActivityPub i parą kluczy może przesyłać aktywności z podpisem ważnym, ale przypisane do dowolnej tożsamości.
- CVE-2026-89151Niskie
W Forgejo przed wersją 16.0.4 istnieje możliwość użycia ograniczonych tokenów API do niezamierzonego dostępu do funkcji "allow maintainer edit".
- CVE-2026-82556Średnie
Podatność w Forgejo do wersji 15.0.4 w funkcji net.LookupIP w pliku is_migrate_allowed.go umożliwia zdalny atak typu server-side request forgery (SSRF). Atak może być przeprowadzony zdalnie, a exploit jest publiczny.
Oryginalny opis (angielski, źródło NVD)
Forgejo before 15.0.3 contains a stored cross-site scripting vulnerability that allows authenticated attackers to execute arbitrary JavaScript in other users' browsers by setting a full name containing an HTML payload and triggering an Actions run. When the DEFAULT_SHOW_FULL_NAME option is enabled, the run description is assembled server-side with the user's display name interpolated into an HTML string via a translation function that does not escape its arguments, and the frontend renders the result using a Vue v-html binding, causing script execution for any user who views the affected Actions run page.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS