CVE-2026-90679 in Forgejo
Сводка
по VulDB • 13.09.2026
В версиях Forgejo от 13.0.0 до 16.0.4 при включенной настройке «[federation] ENABLED = true» присутствует уязвимость подмены (spoofing), которая нарушает целостность идентификации, но не позволяет захватить учетную запись или изменить контент. Система не проверяет, что подпись HTTP Signature во входящем событии ActivityPub была создана ключом, принадлежащим актору, указанному в теле события. Проверка подписи в файле routers/api/v1/activitypub/reqsignature.go подтверждает корректность сигнатуры запроса, однако обработчики действий (inbox activity handlers) впоследствии считывают действующую идентификацию из управляемого злоумышленником тела JSON без привязки к проверенному ключу подписи. Кроме того, заголовок Digest с цифровой подписью не пересчитывается на основе полученного тела запроса. Таким образом, удаленный атакующий, владеющий одним валидным актором ActivityPub и парой ключей, может отправлять события с корректной сигнатурой, приписывая их любой идентификации актора, которую он укажет.
If you want to get best quality of vulnerability data, you may have to visit VulDB.