Pagure代码库中的多个严重漏洞导致远程代码执行
2025-03-23
安全研究人员发现了Pagure（Fedora使用的软件forge）中的多个严重漏洞，这些漏洞允许远程代码执行（RCE）。其中一个漏洞是由于PagureRepo.log()函数中的参数注入导致的，攻击者可以利用它写入任意文件，从而执行任意代码。其他漏洞包括路径遍历和符号链接处理不当。这些漏洞可能被用来修改Fedora软件包的规范文件，从而引入恶意代码。攻击者甚至可以通过覆盖`/srv/git/.bashrc`文件来获得对Pagure服务器的完全控制。Fedora已经迁移到Forgejo来解决这个问题，但这些漏洞凸显了开源软件供应链安全的关键问题。
阅读更多
开发
