Forgejo <=16.0.3 关键 RCE

【HN用户评论摘要】 您应该将 URL 更改为 https://codeberg.org/forgejo/forgejo/milestone/139655> PR：严重：修复：防止模板扩展干扰 git repo 初始化。当从模板存储库生成新存储库时，Forgejo 会克隆模板存储库，删除 .git 文件夹，对 .forgejo/template 中列出的文件执行变量模板扩展，并初始化新的 git 存储库。在此过程中，变量模板扩展可能会被滥用以创建 只是因为有人问过我才在这里发帖。 Gitea 受到这两个问题的保护。（偏见注释：Gitea 项目领导的一部分）编辑：请注意，安全事件发生在每个人身上，我们不应该因为报告这些事件而羞辱任何人，特别是因为这会导致总体报告的问题减少。 这是他们禁止 LLM 贡献后我的第一个想法。他们可能不会使用人工智能来检查漏洞，但攻击者会这样做，这会让自己处于不利地位。 相关更改：安全错误修复 PR：严重：修复：防止模板扩展干扰 git repo 初始化。当从模板存储库生成新存储库时，Forgejo 会克隆模板存储库，删除 .git 文件夹，对 .forgejo/template 中列出的文件执行变量模板扩展，并初始化新的 git 存储库。在此过程中，可能会滥用变量模板扩展来创建新的 .git 文件夹，git 将采用该文件夹 由于 Codeberg 速率限制，发行说明目前无法阅读，发行说明中的两个修复是：https://codeberg.org/forgejo/forgejo/pulls/14301:*Critical:* 修复：防止模板扩展干扰 git repo 初始化。 当从模板存储库生成新存储库时，Forgejo 会克隆模板存储库，删除“.git”文件夹，对“.forgejo/template”中列出的文件执行变量模板扩展，并初始化新的 git 存储库。 原始链接：https://codeberg.org/forgejo/forgejo/src/branch/forgejo/release-notes-published/16.0.4.md