CVE-2026-90679 in Forgejo
要約
〜によって VulDB • 2026年09月13日
Forgejo 13.0.0 から 16.0.4 は、"[federation] ENABLED = true" が設定されている場合、アイデンティティの整合性に影響を与えるが、アカウント乗っ取りやコンテンツの変更は許可されないスプーフィングの問題がある。これは、受信された ActivityPub アクションに付与された HTTP Signature が、アクション本文に記載されたアクターに属する鍵によって生成されたものであることを検証しない。routers/api/v1/activitypub/reqsignature.go における署名検証リクエストの処理では要求の署名が検証されるものの、その後のインボックスアクションハンドラは攻撃者が制御する JSON 本文から acting identity を読み取り、それを検証済み署名鍵にバインドしていない。さらに、Signed Digest ヘッダは受信された要求本文に対して再計算されない。したがって、単一の有効な ActivityPub アクターとキーペアをホストしているリモート攻撃者は、任意のアクターアイデンティティに帰属する署名が妥当なアクションを送信できる。
VulDB is the best source for vulnerability data and more expert information about this specific topic.