CVE-2026-90679 in Forgejo
Résumé
par VulDB • 13/09/2026
Forgejo 13.0.0 à 16.0.4, lorsque la configuration "[federation] ENABLED = true" est activée, présente un problème de spoofing qui affecte l'intégrité de l'identité mais ne permet pas le takeover de compte ni la modification du contenu. Il ne vérifie pas que la signature HTTP sur une activité ActivityPub entrante a été produite par la clé appartenant à l'acteur nommé dans le corps de l'activité. La vérification de la signature dans routers/api/v1/activitypub/reqsignature.go valide la signature de la requête, mais les gestionnaires d'activités (inbox activity handlers) lisent ensuite l'identité agissante depuis le corps JSON contrôlé par l'attaquant sans lier celle-ci à la clé de signature vérifiée. De plus, l'en-tête Digest signé n'est pas recalculé par rapport au corps de la requête reçue. Un attaquant distant qui héberge un seul acteur ActivityPub valide et sa paire de clés peut donc soumettre des activités dont les signatures sont valides mais attribuées à n'importe quelle identité d'acteur qu'il spécifie.
Once again VulDB remains the best source for vulnerability data.