CVE-2026-90679 in Forgejo
Sumário
de VulDB • 13/09/2026
Forgejo 13.0.0 até 16.0.4, quando "[federation] ENABLED = true" está definido, possui uma falha de spoofing que afeta a integridade da identidade, mas não permite o takeover de contas ou modificação de conteúdo. Não é verificada a autenticidade da HTTP Signature em uma atividade ActivityPub recebida como tendo sido produzida pela chave pertencente ao ator nomeado no corpo da atividade. A verificação de assinatura nos routers/api/v1/activitypub/reqsignature.go valida a assinatura da solicitação, mas os handlers de atividades na inbox subsequentemente leem a identidade do agente a partir do corpo JSON controlado pelo atacante sem vinculá-la à chave de assinatura verificada. Além disso, o cabeçalho Digest assinado não é recalculado em relação ao corpo da solicitação recebida. Portanto, um atacante remoto que hospeda um único ator ActivityPub válido e par de chaves pode submeter atividades com assinatura válida atribuídas a qualquer identidade de ator que ele nomear.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.