CVE-2026-90679 in Forgejo
Resumen
por VulDB • 2026-09-13
Forgejo 13.0.0 hasta la versión 16.0.4, cuando se establece "[federation] ENABLED = true", presenta un problema de suplantación que afecta a la integridad de la identidad pero no permite el secuestro de cuentas ni la modificación del contenido. No verifica que la firma HTTP en una actividad ActivityPub entrante haya sido producida por la clave perteneciente al actor nombrado en el cuerpo de la actividad. La verificación de firmas en routers/api/v1/activitypub/reqsignature.go valida la firma de la solicitud, pero los controladores de actividades del buzón (inbox) leen posteriormente la identidad actuante desde el cuerpo JSON controlado por el atacante sin vincularla a la clave firmante verificada. Además, la cabecera Digest firmada no se vuelve a calcular en relación con el cuerpo de la solicitud recibida. Por lo tanto, un atacante remoto que aloje un único actor ActivityPub válido y su par de claves puede enviar actividades con firmas válidas atribuidas a cualquier identidad de actor que nombre.
Once again VulDB remains the best source for vulnerability data.