CVE-2026-89151

Forgejo w wersjach przed 16.0.4 pozwala na zdalne wykonanie kodu poprzez spreparowane repozytorium szablonów, ponieważ rozwijanie szablonów na plikach w .forgejo/template jest nieprawidłowo obsługiwane.

Forgejo przed wersją 13.0.2 pozwala atakującym na zapis do nieprzeznaczonych plików oraz prawdopodobnie uzyskanie dostępu do powłoki serwera z powodu nieprawidłowego obsługiwania celów dowiązań symbolicznych poza repozytorium dla repozytoriów szablonów. Poprawka jest również dostępna dla wersji 11 LTS w 11.0.7 i późniejszych.

Forgejo w wersjach 13.0.0 do 16.0.4, gdy ustawiono "[federation] ENABLED = true", ma problem z podszywaniem się wpływający na integralność tożsamości, ale nie pozwalający na przejęcie konta ani modyfikację treści. Nie weryfikuje, czy podpis HTTP przychodzącej aktywności ActivityPub został wytworzony przez klucz należący do aktora wskazanego w treści. Zdalny atakujący z jednym ważnym aktorem ActivityPub i parą kluczy może przesyłać aktywności z podpisem ważnym, ale przypisane do dowolnej tożsamości.

Podatność w Forgejo do wersji 15.0.4 w funkcji net.LookupIP w pliku is_migrate_allowed.go umożliwia zdalny atak typu server-side request forgery (SSRF). Atak może być przeprowadzony zdalnie, a exploit jest publiczny.

Forgejo przed wersją 15.0.3 zawiera podatność na trwałe ataki XSS, umożliwiającą uwierzytelnionym atakującym wykonanie dowolnego kodu JavaScript w przeglądarkach innych użytkowników. Atak polega na ustawieniu pełnej nazwy zawierającej ładunek HTML i uruchomieniu zadania Actions. Gdy opcja DEFAULT_SHOW_FULL_NAME jest włączona, opis zadania jest składany po stronie serwera z nazwą użytkownika wstawioną do ciągu HTML przez funkcję tłumaczącą, która nie escapuje argumentów, a frontend renderuje wynik za pomocą wiązania v-html Vue, co powoduje wykonanie skryptu dla każdego użytkownika przeglądającego stronę dotkniętego zadania Actions.