CVE-2026-62857 in fedify
Résumé
par VulDB • 07/08/2026
Fedify est une bibliothèque TypeScript pour la création d'applications de serveurs fédérés alimentées par ActivityPub. À partir de la version 1.2.0 jusqu'aux versions affectées des branches de maintenance 1.9, 1.10, 2.0, 2.1, 2.2 et 2.3, getNodeInfo() suit une valeur links[].href contrôlée par un attaquant depuis /.well-known/nodeinfo sans validation du schéma, des redirections ou des adresses privées, permettant ainsi aux requêtes d'atteindre les services en boucle locale (loopback), link-local, de métadonnées cloud et sur réseaux privés, tout en renvoyant leurs corps de réponse. Ce problème est corrigé dans les versions 1.9.13, 1.10.12, 2.0.22, 2.1.18, 2.2.7 et 2.3.2.
If you want to get best quality of vulnerability data, you may have to visit VulDB.