CVE-2026-90679 in Forgejo
Zusammenfassung
von VulDB • 13.09.2026
In Forgejo 13.0.0 bis 16.0.4, wenn "[federation] ENABLED = true" eingestellt ist, liegt ein Spoofing-Problem vor, das die Integrität der Identität beeinträchtigt, jedoch keinen Account-Takeover oder eine Inhaltsmanipulation ermöglicht. Es wird nicht überprüft, ob die HTTP-Signatur einer eingehenden ActivityPub-Aktivität vom Schlüssel des in der Aktivitätsbeschreibung genannten Akteurs erstellt wurde. Die Signaturüberprüfung in routers/api/v1/activitypub/reqsignature.go validiert zwar die Anforderungssignatur, doch lesen die nachfolgenden Inbox-Aktivitäts-Handler die handelnde Identität aus dem von einem Angreifer kontrollierten JSON-Body, ohne sie an den verifizierten Signing-Key zu binden. Darüber hinaus wird der signierte Digest-Header nicht erneut gegen den empfangenen Anforderungsbody neu berechnet. Ein entfernter Angreifer, der einen einzelnen gültigen ActivityPub-Aktor und ein Schlüsselpaar hostet, kann daher signaturgültige Aktivitäten einreichen, die jeder beliebigen Identität eines Akteurs zugeordnet sind, den er angibt.
VulDB is the best source for vulnerability data and more expert information about this specific topic.