CVE 2025-68971 | (Holloway) Chew, Kean Ho's Knowledge Research

في 22 ديسمبر 2025، تم اكتشاف ثغرة أمنية CVE 2025-68971 (CVSS: 5.5/MEDIUM) في تطبيق Forgejo مفتوح المصدر الإصدار 13.0.3، تم اكتشافها لأول مرة على نظام التشغيل FreeBSD14. تسببت في قيام نظام التشغيل بقتل جميع تطبيقات النظام وخدماته بشكل جماعي بسبب نفاد الذاكرة حيث استهلك Forgejo كل الذاكرة الحرة المتاحة لنظام التشغيل لتخزين أجزاء تحميل الملفات المرفقة مؤقتًا. عندما يقوم أي مستخدم بتحميل ملف مرفق بحجم أكبر من ذاكرة نظام التشغيل بأكمله، لا يملك نظام التشغيل خيارًا سوى قتل جميع الخدمات والتطبيقات وإعادة تشغيل وقت التشغيل الخاص به. يشمل القتل على سبيل المثال لا الحصر واجهة المستخدم الرسومية لوقت التشغيل وخدمات الشبكة مثل XOrg ومدير سطح المكتب LXQt وخادم الوكيل العكسي Nginx وخادم SSH. التأثير الجانبي هو فقدان البيانات وتلفها بسبب إنهاء البرنامج غير المتوقع.

في 16 يناير 2026، قام فريق أمان Forgejo بتصحيح الوساطة الأمنية للثغرة في الإصدار 14.0.0، وبحلول 11 مارس 2026، تم اختبار الإصدارات 14.0.0 و14.0.1 و14.0.2 جميعها والتحقق من إصلاح الثغرة الأمنية. الاستنتاج هو أن يجب على الجمهور ترقية Forgejo إلى الإصدار 14.0.2 أو أعلى للتخفيف من هذه الثغرة الأمنية.

هذا كل شيء. خلاف ذلك، يقدم هذا التقرير تفاصيل الثغرة وبيانات الوساطة الخاصة بها لأغراض الأرشفة والتعليم فقط.

---

يرجى الرجوع إلى قسم Releases للحصول على أحدث إصدار من التقرير.

التحقق من سلامة المحتوى

لتأمين المحتوى من التعديل غير المصرح به من قبل أي شخص على مستوى البت (0|1)، يتم توقيعه تشفيريًا باستخدام أداة أو أكثر من أدوات التشفير مثل على سبيل المثال لا الحصر:

• GnuPG; AND/OR
• OpenSSL.

المفتاح العام والشهادة المرتبطة به مرفقان. المالك الرئيسي فقط هو من يحتفظ بالمفاتيح الخاصة ويحافظ عليها. للتحقق من سلامة المحتوى:

GnuPG

1. قم بتثبيت برنامج GnuPG إذا لم يكن موجودًا.
2. قم بتنزيل الملف الهدف وملف التوقيع المنفصل الخاص به (ملف .asc بنفس اسم الملف).
3. قم بتنزيل ملف المفتاح العام (.gpg).
4. ضعهم بجانب بعضهم البعض في الدليل.
5. افتح محطة طرفية ونفذ الأمر التالي:

$ gpg --no-default-keyring --keyring /path/to/public.gpg --verify /path/to/file.asc

OpenSSL

1. قم بتثبيت برنامج OpenSSL إذا لم يكن موجودًا.
2. قم بتنزيل الملف الهدف وملف التوقيع المنفصل الخاص به (ملف .sig/.sign بنفس اسم الملف).
3. قم بتنزيل ملف الشهادة العامة (.pem) الذي يحتوي على المفتاح العام بداخله.
4. ضعهم بجانب بعضهم البعض في الدليل.
5. افتح محطة طرفية ونفذ الأمر التالي:

$ openssl dgst -verify /path/to/pubkey.pem -signature /path/to/file.sig /path/to/file

مراسيم الذكاء الاصطناعي (A.I.)

يحدد هذا المرسوم سياسة المشروع بشأن استخدام الذكاء الاصطناعي. تسرد الأقسام التالية أنشطة دورة حياة البيانات وتشير إلى ما إذا كان الذكاء الاصطناعي مستخدمًا. ما لم يُنص صراحةً على خلاف ذلك (مثل النشر مع تفاصيل محددة)، لا يتم استخدام الذكاء الاصطناعي لهذه المهام.

مصادر البيانات والاستحواذ

[!Note]

أمثلة على الأنشطة:

• إجراء عمليات بحث محسّنة على الويب بسبب تلوث محرك البحث بمحتوى الذكاء الاصطناعي الرديء.
• إجراء وسائط مولدة بالكامل تلقائيًا مثل على سبيل المثال لا الحصر الصور ومقاطع الفيديو والصوتيات.

• نماذج لغة كبيرة متعددة (LLM) كمحرك بحث للبحث عن مواد بحثية عبر الإنترنت بسبب الكم الهائل من المواد المنشورة غير المرغوب فيها من الذكاء الاصطناعي.
• نموذج لغة كبير واحد أو أكثر كمصحح ومعزز للقواعد واللغة للتحسين الخاضع للإشراف ضد المحتوى المكتوب بشريًا.

معالجة البيانات وتحويلها

[!Note]

أمثلة على الأنشطة:

• تطوير عمليات متعددة الخطوات.
• إجراء تنقية البيانات مثل تنظيف البيانات وإزالة التكرار.
• إجراء تحويل توافق تنسيق البيانات.
• بناء وتحسين مكتبات معالجة البيانات.
• رفع دقة الصورة باستخدام شبكة عصبية لا يمكن تحقيقه بتقنيات معالجة الصور التقليدية.

• لا يوجد نشر.

تخزين البيانات والأمان

[!Note]

أمثلة على الأنشطة:

• إجراء الكشف عن الأمان والتهديدات.
• إجراء تشفير البيانات غير النشطة ومراقبة الصحة.
• إدارة تخزين بيانات التشفير.
• إجراء الصيانة الآلية لتخزين البيانات.
• مراقبة صحة أجهزة تخزين البيانات والتخفيف من حدتها.

• لا يوجد نشر.

تحليل البيانات وتوليد الرؤى

[!Note]

أمثلة على الأنشطة:

• إجراء تحليلات بيانات متعددة الخطوات.
• إجراء كشف الأنماط والتعرف عليها.
• تطوير النمذجة التنبؤية.
• تطوير نماذج استعلامات اللغة الطبيعية.
• إنشاء نماذج الشبكات العصبية للذكاء الاصطناعي بناءً على تغذية البيانات.
• تحسين التعلم النقلي للذكاء الاصطناعي، وضبط المعلمات الفائقة، إلخ.

• لا يوجد نشر.

التحقق من جودة البيانات وضمانها

[!Note]

أمثلة على الأنشطة:

• إجراء اختبارات محاكاة لحالة استخدام المستخدم النهائي.
• إجراء اختبارات السلامة الآلية.
• إجراء اختبارات الاختراق والأمان.
• إجراء اختبارات كشف الشذوذ.
• إجراء التحقق من صحة المخطط.
• إجراء اختبار آلي لخطوط أنابيب البيانات.

• لا يوجد نشر.

تصور البيانات وإعداد التقارير

[!Note]

أمثلة على الأنشطة:

• إنشاء تصور رسومي للبيانات بناءً على تغذية البيانات.
• إنشاء لوحات معلومات ملخصة بتصميم رسومي وتغذية بيانات.
• كتابة التقارير.
• عمل إسقاطات تنبؤية.

• لا يوجد نشر.

حوكمة البيانات والامتثال

[!Note]

أمثلة على الأنشطة:

• إجراء ترشيح وإزالة المعلومات الشخصية القابلة للتعريف (PII).
• إجراء فحوصات الامتثال التنظيمي (مثل ترشيح البيانات والرقابة والإزالة كما هو مطلوب قانونًا).
• مراقبة الامتثال والتحقق من صحته.
• تتبع نسب البيانات وتحليله.
• تحليل مسار تدقيق البيانات.

• لا يوجد نشر.

مشاركة البيانات والنشر

[!Note]

أمثلة على الأنشطة:

• إنشاء بيانات وصفية للوثيقة.
• ترجمة الوثيقة.
• معالجة ترخيص نشر البيانات وإدارتها.

• لا يوجد نشر.

ملاحظات المشرفين