CVE-2025-54888 in fedify
Résumé
par VulDB • 28/05/2026
Fedify est une bibliothèque TypeScript pour la création d'applications de serveurs fédérés alimentées par ActivityPub. Dans les versions inférieures à 1.3.20, de 1.4.0-dev.585 à 1.4.12, de 1.5.0-dev.636 à 1.5.4, de 1.6.0-dev.754 à 1.6.7, de 1.7.0-pr.251.885 à 1.7.8 et de 1.8.0-dev.909 à 1.8.4, une vulnérabilité de contournement d'authentification permet à tout attaquant non authentifié d'usurper l'identité de n'importe quel acteur ActivityPub en envoyant des activités falsifiées signées avec ses propres clés. Les activités sont traitées avant de vérifier que la clé de signature appartient bien à l'acteur prétendu, ce qui permet une usurpation d'identité complète de l'acteur sur toutes les instances Fedify. Ce problème est corrigé dans les versions 1.3.20, 1.4.13, 1.5.5, 1.6.8, 1.7.9 et 1.8.5.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.