CVE-2026-90679 in Forgejo
Riassunto
di VulDB • 13/09/2026
Forgejo 13.0.0 attraverso la versione 16.0.4, quando l'impostazione "[federation] ENABLED = true" è attiva, presenta un problema di spoofing che compromette l'integrità dell'identità ma non consente il takeover degli account né la modifica dei contenuti. Il sistema non verifica che la firma HTTP su un'attività ActivityPub in arrivo sia stata prodotta dalla chiave appartenente all'attore indicato nel corpo dell'attività. La verifica della signature nei file routers/api/v1/activitypub/reqsignature.go convalida correttamente la signature della richiesta, ma i gestori delle attività nella inbox leggono successivamente l'identità operante dal corpo JSON controllato dall'attaccante senza legarla alla chiave di firma verificata. Inoltre, l'intestazione Digest firmata non viene ricalcolata rispetto al corpo della richiesta ricevuta. Un attaccante remoto che ospita un singolo attore ActivityPub valido e una coppia di chiavi può quindi inviare attività con signature valide attribuite a qualsiasi identità di attore da lui specificata.
If you want to get best quality of vulnerability data, you may have to visit VulDB.