Forgejo 代码托管平台现严重RCE漏洞
推荐指数 59.0 NO. 017 · 2026.09.11
发布2026/09/10Score91Comments37
为什么值得看
Forgejo ≤16.0.3 版本存在未授权远程代码执行漏洞，攻击者无需认证即可获取服务器控制权。使用 Forgejo 自托管代码的团队需立即升级，这是 Gitea 分叉后独立项目的首个重大安全事件。
编辑判断
Forgejo 是 2022 年 Gitea 商业化争议后社区分叉出来的项目，这次漏洞暴露了一个隐性风险：社区分叉项目的安全响应速度可能跟不上漏洞披露节奏。Gitea 本身是否受影响尚未明确，但两者代码库尚未完全 diverge，建议同时关注 Gitea 的安全公告。
如果你在用 Forgejo/Gitea 托管私有模型权重或训练代码，这比公开仓库更危险——攻击者拿到 RCE 后可能直接窃取模型文件。临时缓解措施：限制实例的网络出口、关闭公开注册、加 WAF 规则拦截可疑 git 操作路径。
社区反馈
意见分歧 37 条评论
核心争论：禁用LLM贡献是否削弱安全审计能力
``` This git endpoint is seeing a high influx of requests for this repository, to preserve the availability of Codeberg your search request will not be processed. Sorry for the inconvenience and please try again later. ``` Any mirror?
The PR is still accessible https://codeberg.org/forgejo/forgejo/pulls/14300 Critical: fix: prevent template expansion from interfering with git repo initialization. When generating a new repository from a template repository, Forgejo clones the template repository,
Relevant change: Security bug fixes PR: Critical: fix: prevent template expansion from interfering with git repo initialization. When generating a new repository from a template repository, Forgejo clones the template repository, removes the .git folder, performs variable template expansion