Forgejo 发布了关键安全更新（16.0.3 版本），旨在修复两个重大漏洞： 1. **远程代码执行（RCE）：** 仓库模板初始化过程中的一个缺陷，允许恶意模板在变量扩展期间创建伪造的 `.git` 文件夹。攻击者可利用此漏洞读取任意数据或在宿主服务器上执行任意代码。此次修复确保了在仓库初始化之前，任何异常的 `.git` 目录都会被清除。 2. **API 授权绕过：** API 中的逻辑错误导致拥有受限访问令牌的用户可以修改超出其权限的仓库内容，特别是在启用了“允许维护者编辑”的拉取请求（Pull Request）中。该问题已修复，API 现在能够正确执行安全限制。 **建议：** 强烈建议用户立即更新其实例。如果无法立即更新，运行私有实例且已禁用开放注册的用户风险较低；但仍建议在完成补丁更新前，将实例下线或置于严格的访问控制之下。用户可通过 [Forgejo 安全公告页面](https://codeberg.org/forgejo/security-announcements/issues) 跟踪未来的更新信息。