CVE-2026-90679 in Forgejo
요약
\~에 의해 VulDB • 2026. 09. 13.
Forgejo 13.0.0부터 16.0.4까지에서 "[federation] ENABLED = true"가 설정된 경우, 신원 무결성에 영향을 미치는 스푸핑(spoofing) 취약점이 존재하지만 계정 탈취나 콘텐츠 수정은 허용되지 않습니다. 이 시스템은 수신되는 ActivityPub 활동의 HTTP Signature가 해당 활동 본문에 명시된 액터(actor)가 소유한 키로 생성되었는지 검증하지 않습니다. routers/api/v1/activitypub/reqsignature.go의 서명 검증 로직은 요청 서명을 확인하지만, 인박스(activity inbox) 핸들러는 이후 공격자가 제어하는 JSON 본문을 읽으며 이를 검증된 서명 키와 바인딩(binding)하지 않고 작동 신원(acting identity)으로 사용합니다. 또한, 서명된 Digest 헤더가 수신된 요청 본문에 대해 다시 계산되지 않습니다. 따라서 단일 유효한 ActivityPub 액터 및 키 페어(keypair)를 호스팅하는 원격 공격자는 자신이 지정한 어떤 액터 신원으로든 서명이 유효한 활동을 제출할 수 있습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.