CVE 2025-68971 | (Holloway) Chew, Kean Ho's Knowledge Research

في 22 ديسمبر 2025، تم اكتشاف ثغرة أمنية CVE 2025-68971 (CVSS: 5.5/MEDIUM) في تطبيق Forgejo مفتوح المصدر الإصدار 13.0.3، تم اكتشافها لأول مرة على نظام التشغيل FreeBSD14. تسببت في قيام نظام التشغيل بقتل جميع تطبيقات النظام وخدماته بشكل جماعي بسبب نفاد الذاكرة حيث استهلك Forgejo كل الذاكرة الحرة المتاحة لنظام التشغيل لتخزين أجزاء تحميل الملفات المرفقة مؤقتًا. عندما يقوم أي مستخدم بتحميل ملف مرفق بحجم أكبر من ذاكرة نظام التشغيل بأكمله، لا يملك نظام التشغيل خيارًا سوى قتل جميع الخدمات والتطبيقات وإعادة تشغيل وقت التشغيل الخاص به. يشمل القتل على سبيل المثال لا الحصر واجهة المستخدم الرسومية لوقت التشغيل وخدمات الشبكة مثل XOrg ومدير سطح المكتب LXQt وخادم الوكيل العكسي Nginx وخادم SSH. التأثير الجانبي هو فقدان البيانات وتلفها بسبب إنهاء البرنامج غير المتوقع.

في 16 يناير 2026، قام فريق أمان Forgejo بتصحيح الوساطة الأمنية للثغرة في الإصدار 14.0.0، وبحلول 11 مارس 2026، تم اختبار الإصدارات 14.0.0 و14.0.1 و14.0.2 جميعها والتحقق من إصلاح الثغرة الأمنية. الاستنتاج هو أن يجب على الجمهور ترقية Forgejo إلى الإصدار 14.0.2 أو أعلى للتخفيف من هذه الثغرة الأمنية.

هذا كل شيء. خلاف ذلك، يقدم هذا التقرير تفاصيل الثغرة وبيانات الوساطة الخاصة بها لأغراض الأرشفة والتعليم فقط.

يرجى الرجوع إلى قسم Releases للحصول على أحدث إصدار من التقرير.

التحقق من سلامة المحتوى

لتأمين المحتوى من التعديل غير المصرح به من قبل أي شخص على مستوى البت (0|1)، يتم توقيعه تشفيريًا باستخدام أداة أو أكثر من أدوات التشفير مثل على سبيل المثال لا الحصر:

• GnuPG; AND/OR
• OpenSSL.

المفتاح العام والشهادة المرتبطة به مرفقان. المالك الرئيسي فقط هو من يحتفظ بالمفاتيح الخاصة ويحافظ عليها. للتحقق من سلامة المحتوى:

GnuPG

1. قم بتثبيت برنامج GnuPG إذا لم يكن موجودًا.
2. قم بتنزيل الملف الهدف وملف التوقيع المنفصل الخاص به (ملف .asc بنفس اسم الملف).
3. قم بتنزيل ملف المفتاح العام (.gpg).
4. ضعهم بجانب بعضهم البعض في الدليل.
5. افتح محطة طرفية ونفذ الأمر التالي:

$ gpg --no-default-keyring --keyring /path/to/public.gpg --verify /path/to/file.asc

OpenSSL

1. قم بتثبيت برنامج OpenSSL إذا لم يكن موجودًا.
2. قم بتنزيل الملف الهدف وملف التوقيع المنفصل الخاص به (ملف .sig/.sign بنفس اسم الملف).
3. قم بتنزيل ملف الشهادة العامة (.pem) الذي يحتوي على المفتاح العام بداخله.
4. ضعهم بجانب بعضهم البعض في الدليل.
5. افتح محطة طرفية ونفذ الأمر التالي:

$ openssl dgst -verify /path/to/pubkey.pem -signature /path/to/file.sig /path/to/file

مراسيم الذكاء الاصطناعي (A.I.)

يحدد هذا المرسوم سياسة المشروع بشأن استخدام الذكاء الاصطناعي. تسرد الأقسام التالية أنشطة دورة حياة البيانات وتشير إلى ما إذا كان الذكاء الاصطناعي مستخدمًا. ما لم يُنص صراحةً على خلاف ذلك (مثل النشر مع تفاصيل محددة)، لا يتم استخدام الذكاء الاصطناعي لهذه المهام.

مصادر البيانات والاستحواذ

[!Note]

أمثلة على الأنشطة:

• إجراء عمليات بحث محسّنة على الويب بسبب تلوث محرك البحث بمحتوى الذكاء الاصطناعي الرديء.
• إجراء وسائط مولدة بالكامل تلقائيًا مثل على سبيل المثال لا الحصر الصور ومقاطع الفيديو والصوتيات.

• نماذج لغة كبيرة متعددة (LLM) كمحرك بحث للبحث عن مواد بحثية عبر الإنترنت بسبب الكم الهائل من المواد المنشورة غير المرغوب فيها من الذكاء الاصطناعي.
• نموذج لغة كبير واحد أو أكثر كمصحح ومعزز للقواعد واللغة للتحسين الخاضع للإشراف ضد المحتوى المكتوب بشريًا.

معالجة البيانات وتحويلها

[!Note]

أمثلة على الأنشطة:

• تطوير عمليات متعددة الخطوات.
• إجراء تنقية البيانات مثل تنظيف البيانات وإزالة التكرار.
• إجراء تحويل توافق تنسيق البيانات.
• بناء وتحسين مكتبات معالجة البيانات.
• رفع دقة الصورة باستخدام شبكة عصبية لا يمكن تحقيقه بتقنيات معالجة الصور التقليدية.

• لا يوجد نشر.

تخزين البيانات والأمان

[!Note]

أمثلة على الأنشطة:

• إجراء الكشف عن الأمان والتهديدات.
• إجراء تشفير البيانات غير النشطة ومراقبة الصحة.
• إدارة تخزين بيانات التشفير.
• إجراء الصيانة الآلية لتخزين البيانات.
• مراقبة صحة أجهزة تخزين البيانات والتخفيف من حدتها.

• لا يوجد نشر.

تحليل البيانات وتوليد الرؤى

[!Note]

أمثلة على الأنشطة:

• إجراء تحليلات بيانات متعددة الخطوات.
• إجراء كشف الأنماط والتعرف عليها.
• تطوير النمذجة التنبؤية.
• تطوير نماذج استعلامات اللغة الطبيعية.
• إنشاء نماذج الشبكات العصبية للذكاء الاصطناعي بناءً على تغذية البيانات.
• تحسين التعلم النقلي للذكاء الاصطناعي، وضبط المعلمات الفائقة، إلخ.

• لا يوجد نشر.

التحقق من جودة البيانات وضمانها

[!Note]

أمثلة على الأنشطة:

• إجراء اختبارات محاكاة لحالة استخدام المستخدم النهائي.
• إجراء اختبارات السلامة الآلية.
• إجراء اختبارات الاختراق والأمان.
• إجراء اختبارات كشف الشذوذ.
• إجراء التحقق من صحة المخطط.
• إجراء اختبار آلي لخطوط أنابيب البيانات.

• لا يوجد نشر.

تصور البيانات وإعداد التقارير

[!Note]

أمثلة على الأنشطة:

• إنشاء تصور رسومي للبيانات بناءً على تغذية البيانات.
• إنشاء لوحات معلومات ملخصة بتصميم رسومي وتغذية بيانات.
• كتابة التقارير.
• عمل إسقاطات تنبؤية.

• لا يوجد نشر.

حوكمة البيانات والامتثال

[!Note]

أمثلة على الأنشطة:

• إجراء ترشيح وإزالة المعلومات الشخصية القابلة للتعريف (PII).
• إجراء فحوصات الامتثال التنظيمي (مثل ترشيح البيانات والرقابة والإزالة كما هو مطلوب قانونًا).
• مراقبة الامتثال والتحقق من صحته.
• تتبع نسب البيانات وتحليله.
• تحليل مسار تدقيق البيانات.

• لا يوجد نشر.

مشاركة البيانات والنشر

[!Note]

أمثلة على الأنشطة:

• إنشاء بيانات وصفية للوثيقة.
• ترجمة الوثيقة.
• معالجة ترخيص نشر البيانات وإدارتها.

• لا يوجد نشر.

ملاحظات المشرفين

1. هذا مستودع git لا مركزي مكتفٍ ذاتيًا بشكل صارم لذلك يجب أن تكون جميع البيانات والمعلومات الحيوية والصيانة داخل هذا المستودع. يمكن لأي شخص لديه هذا المستودع العمل دون أي قيود أو حدود.
2. لا تستخدم git-lfs بسبب سياسات تخصيص التخزين الغامضة وغير المتسقة من مزودي خدمات git المختلفة.
   • سيعطل خط العمل ويسبب فقدان بيانات غير مرغوب فيه في المصب.
   • بعضهم في الواقع يفرض عليك رسومًا مالية مقابل مساحة التخزين.
3. بالنسبة لتراخيص المستودع، يستخدم هذا المستودع نهج الترخيص الموحد لاعتمادات حقوق النشر. لذلك، يجب عليك القيام بما يلي:
   • بالنسبة لـ CREATORS.txt أو CONTRIBUTORS.txt:
     1. CREATORS.txt هي الكيانات القانونية المسؤولة والتي تمتلك حقوق نشر المشروع مثل المؤلفين والمصممين الرئيسيين والمهندسين الرئيسيين، إلخ.
     2. CONTRIBUTORS.txt هي أي كيانات قانونية تساهم في المشروع ولكنها لا تمتلك حقوق نشر المشروع بشكل مباشر مثل المساهمين عبر طلبات السحب والقيمين والكاتبين، إلخ. يمكن إضافة الكيانات من CREATORS.txt هنا للحصول على قائمة موحدة للمساهمين.
     3. كل ملف له أدلته الداخلية كتعليقات. يرجى الامتثال وفقًا لذلك.
   • LICENSE.txt
     1. قم بتحديث الأسماء المستعارة الجماعية (مثل فريق مشروع ABC) لتطابق المشروع بشكل صحيح. التنسيق هو نفسه الموجود في CREATORS.txt و .

الترخيص

• ترخيص GIMP المتفق عليه
• سياسة خصوصية GIMP المتفق عليها
• ترخيص Inkscape المتفق عليه
• سياسة خصوصية Inkscape المتفق عليها

هذا المستودع بأكمله مرخص بموجب رخصة المشاع الإبداعي نسب المصنف - غير المشتقات 4.0 الدولية. لضمان فهم أفضل لهذا الترخيص، ستشرح الأقسام الفرعية التالية بإيجاز كيفية نشر المحتوى.

بالنسبة للمنظمات غير الربحية المسجلة (NGO)، تعتبر كيانًا تجاريًا مثل أي منظمة ربحية افتراضيًا. ومع ذلك، ستكون مؤهلاً للحصول على منحة صرف NGO وستحصل على امتيازات استثنائية من المنشئ (المنشئين).

الإسناد

ما لم يُنص على خلاف ذلك كتابيًا، يجب عليك الإسناد إلى المنشئ (المنشئين) على النحو التالي:

Title: CVE 2025-68971
Creators: (Holloway) Chew, Kean Ho
Packaged-By: (Holloway) Chew, Kean Ho
Contact: [email protected]
SKU: chewkeanho-research-cve-2025-68971
UUID: D44E82C4-7EEF-436A-85FD-883062554B67
DOI: 10.5281/zenodo.18932933
CVE: CVE-2025-68971
License: Creative Commons Attribution-NoDerivatives 4.0 International License (https://creativecommons.org/licenses/by-nd/4.0)
Repository Made On: 2026-03-10
Repository Made From: Malaysia, South East Asia
Procure: https://doi.org/10.5281/zenodo.18932933

الملكية - شخصي

[!NOTE]

هذا يستهدف أي عميل يرغب في امتلاك نسخة من المحتوى ثم يستخدمها هو/هي فقط دون مشاركتها مع أي كيان طرف ثالث؛ و بدون أي نية مالية مثل على سبيل المثال لا الحصر:

• حفظ نسخة محلية ثم عرضها عبر أجهزته/أجهزتها المحمولة الخاصة؛ أو
• حفظ نسخة محلية ثم عرضها عبر جهاز الكمبيوتر الشخصي الخاص به/بها؛ أو
• حفظ نسخة محلية لأغراض تدريب بيانات الذكاء الاصطناعي.

مسموح لك بشرط الامتثال الصارم لإسناد الترخيص.

الملكية - تجاري

[!NOTE]

هذا يستهدف أي عميل يرغب في امتلاك نسخة من المحتوى ثم يستخدمها هو/هي فقط دون مشاركتها مع أي كيان طرف ثالث؛ و مع أي نية مالية مثل على سبيل المثال لا الحصر:

• حفظ نسخة محلية لتعزيز قائمة مشتريات شركته/شركتها؛ أو
• حفظ نسخة محلية لأغراض تدريب بيانات الذكاء الاصطناعي التجارية.

مسموح لك بشرط الامتثال الصارم لإسناد الترخيص.

المرجع - شخصي وتجاري

[!NOTE]

هذا يستهدف أي عميل يرغب في الإشارة أو تقديم دليل لمصدر المحتوى الأصلي لأي كيان طرف ثالث بدون عرض أي جزء من المحتوى الأصلي مباشرة؛ بدون أي نية مالية مثل على سبيل المثال لا الحصر:

• البحث الأكاديمي وكتابة الأوراق؛ أو
• إنشاء محتوى جديد يرتبط بالمحتوى الأصلي بدون عرض أي من المحتوى الأصلي لمنصة البث الخاصة به/بها؛ أو
• إنتاج المحتوى وجمعه المرتبط بالمحتوى الأصلي بدون عرض أي من المحتوى الأصلي؛ أو
• مشروع محفظة الويب المرتبط بالمحتوى الأصلي بدون عرض أي من المحتوى الأصلي؛ أو
• مواد الفعاليات المرتبطة بالمحتوى الأصلي بدون عرض أي من المحتوى الأصلي؛ أو
• مواد الاجتماعات المرتبطة بالمحتوى الأصلي بدون عرض أي من المحتوى الأصلي؛ أو
• محتويات الإعلانات المرتبطة بالمحتوى الأصلي بدون عرض أي من المحتوى الأصلي.

مسموح لك بشرط الامتثال الصارم لإسناد الترخيص.

التكامل - شخصي

[!NOTE]

هذا يستهدف أي عميل يرغب في عرض أجزاء وليس الكل من المحتوى الأصلي كما هو أو بدون أي مزج أو تعديل يحافظ على القصد الأصلي والتوجيه الفني والرسائل في إنشاء المحتوى الخاص به/بها؛ بدون أي نية مالية مثل على سبيل المثال لا الحصر:

• إنشاء محتوى جديد مع عرض جزء (أجزاء) من المحتوى الأصلي لمنصة البث الخاصة به/بها بدون أي ربح مادي؛ أو
• إنتاج المحتوى وجمعه مع عرض جزء (أجزاء) من المحتوى الأصلي بدون أي ربح مادي؛ أو
• مشروع محفظة الويب مع عرض جزء (أجزاء) من المحتوى الأصلي بدون أي ربح مادي؛ أو
• مواد الفعاليات مع عرض جزء (أجزاء) من المحتوى الأصلي بدون أي ربح مادي؛ أو
• مواد الاجتماعات مع عرض جزء (أجزاء) من المحتوى الأصلي بدون أي ربح مادي.

مسموح لك بشرط الامتثال الصارم لإسناد الترخيص.

التكامل - تجاري

[!NOTE]

هذا يستهدف أي عميل يرغب في عرض أجزاء وليس الكل من المحتوى الأصلي كما هو أو بدون أي مزج أو تعديل يحافظ على القصد الأصلي والتوجيه الفني والرسائل في إنشاء المحتوى الخاص به/بها؛ مع أي نية مالية مثل على سبيل المثال لا الحصر:

• إنشاء محتوى جديد مع عرض جزء (أجزاء) من المحتوى الأصلي لمنصة البث الخاصة به/بها؛ أو
• إنتاج المحتوى وجمعه مع عرض جزء (أجزاء) من المحتوى الأصلي؛ أو
• مشروع محفظة الويب مع عرض جزء (أجزاء) من المحتوى الأصلي؛ أو
• مواد الفعاليات مع عرض جزء (أجزاء) من المحتوى الأصلي؛ أو
• مواد الاجتماعات مع عرض جزء (أجزاء) من المحتوى الأصلي؛ أو
• مواد الإعلانات مع عرض جزء (أجزاء) من المحتوى الأصلي.

مسموح لك بشرط الامتثال الصارم لإسناد الترخيص.

المزج التأليفي - شخصي

[!NOTE]

هذا يستهدف أي عميل يرغب في امتلاك ثم تعديل المحتوى الأصلي بشكل موسع مع الحفاظ على القصد الأصلي أو التوجيه الفني أو الرسالة أو تغييرها لتأليف إنشاء المحتوى الجديد الخاص به/بها؛ بدون أي نية مالية مثل على سبيل المثال لا الحصر:

• إنشاء محتوى جديد مع دمج المحتوى الأصلي المعدل رقميًا والمعالج لمنصة البث الخاصة به/بها بدون أي أرباح بما في ذلك عمولة الإعلانات؛ أو
• إنتاج المحتوى الشخصي وجمعه مع دمج المحتوى الأصلي المعدل رقميًا والمعالج لمنصة البث الخاصة به/بها بدون أي أرباح بما في ذلك عمولة الإعلانات؛ أو
• مشروع محفظة الويب الشخصية مع دمج المحتوى الأصلي المعدل رقميًا والمعالج لمنصة البث الخاصة به/بها بدون أي أرباح بما في ذلك عمولة الإعلانات؛ أو
• إنشاء محتوى ميم لوسائل التواصل الاجتماعي مع دمج المحتوى الأصلي المعدل رقميًا والمعالج لمنصة البث الخاصة به/بها بدون أي أرباح بما في ذلك عمولة الإعلانات.

غير مسموح لك بسبب قيود الترخيص.

المزج التأليفي - تجاري

[!NOTE]

هذا يستهدف أي عميل يرغب في امتلاك ثم تعديل المحتوى الأصلي بشكل موسع مع الحفاظ على القصد الأصلي أو التوجيه الفني أو الرسالة أو تغييرها لتأليف إنشاء المحتوى الجديد الخاص به/بها؛ مع أي نية مالية مثل على سبيل المثال لا الحصر:

• إنشاء محتوى جديد مع دمج المحتوى الأصلي المعدل رقميًا والمعالج لمنصة البث الخاصة به/بها؛ أو
• إنتاج المحتوى الشخصي وجمعه مع دمج المحتوى الأصلي المعدل رقميًا والمعالج لمنصة البث الخاصة به/بها؛ أو
• مشروع محفظة الويب الشخصية مع دمج المحتوى الأصلي المعدل رقميًا والمعالج لمنصة البث الخاصة به/بها؛ أو
• إنشاء محتوى ميم لوسائل التواصل الاجتماعي مع دمج المحتوى الأصلي المعدل رقميًا والمعالج لمنصة البث الخاصة به/بها.

غير مسموح لك بسبب قيود الترخيص.

إعادة توزيع البث أو إعادة البيع - شخصي

[!NOTE]

هذا يستهدف أي عميل يرغب في مشاركة أو بث أو إعادة توزيع أو بيع أو إعادة بيع المحتوى الأصلي أو المعدل أو المشتق بدون أي نية مالية مثل على سبيل المثال لا الحصر:

• المشاركة مع أفراد العائلة؛ أو
• بث المحتوى عبر أي منصة بث مع وصول المشاهد الخاص؛ أو
• عرض المحتوى في معرضه/معرضها مع ضيوف مدعوين بشكل خاص؛ أو
• عرض المحتوى في مساحات مفتوحة خاصة مجانية الدخول مثل غرفة المعيشة؛ أو
• امتلاك نسخة من المحتوى الأصلي وتقديمها كمحتوى قابل للتنزيل على موقع ويب في شبكة خاصة (مثل شبكة منزلية ذاتية الاستضافة)؛ أو
• مشاركة المحتوى الأصلي عبر وسائل التواصل الاجتماعي أو تطبيقات المراسلة مثل البريد الإلكتروني أو المراسلة الفورية.

مسموح لك بشرط الامتثال الصارم لإسناد الترخيص.

إعادة توزيع البث أو إعادة البيع - تجاري

[!NOTE]

هذا يستهدف أي عميل يرغب في مشاركة أو بث أو إعادة توزيع أو بيع أو إعادة بيع المحتوى الأصلي أو المعدل أو المشتق مع أي نية مالية مثل على سبيل المثال لا الحصر:

• بث المحتوى عبر أي منصة بث مع وصول المشاهد العام أو الخاص؛ أو
• عرض المحتوى في أي فعاليات عامة للشركة مع دعوات ضيوف مجانية أو مدفوعة؛ أو
• عرض المحتوى في أي فعاليات داخلية/خاصة للشركة مع دعوات ضيوف مجانية أو مدفوعة؛ أو
• امتلاك نسخة من المحتوى الأصلي وتقديمها كمحتوى مجاني أو مدفوع قابل للتنزيل على موقعه/موقعها على الويب في أي شبكة (إنترنت أو إنترانت أو شبكات خاصة)؛ أو
• مشاركة المحتوى الأصلي عبر وسائل التواصل الاجتماعي أو تطبيقات المراسلة مثل البريد الإلكتروني أو المراسلة الفورية؛ أو
• توزيع المحتوى الأصلي عبر منصات بث متعددة لتحقيق الربح.

مسموح لك بشرط الامتثال الصارم لإسناد الترخيص.