CVE-2026-90679 in Forgejo
Tóm tắt
Bởi VulDB • 13/09/2026
Forgejo 13.0.0 đến 16.0.4, khi "[federation] ENABLED = true" được thiết lập, có một vấn đề giả mạo (spoofing) ảnh hưởng đến tính toàn vẹn của danh tính nhưng không cho phép chiếm đoạt tài khoản hoặc sửa đổi nội dung. Hệ thống không xác minh rằng Chữ ký HTTP trên hoạt động ActivityPub đầu vào do khóa thuộc về diễn viên (actor) được nêu trong phần thân hoạt động tạo ra. Việc xác minh chữ ký trong routers/api/v1/activitypub/reqsignature.go xác thực chữ ký yêu cầu, nhưng các trình xử lý hộp thư đến sau đó đọc danh tính đang hành động từ phần JSON do kẻ tấn công kiểm soát mà không ràng buộc nó với khóa ký đã được xác thực. Ngoài ra, tiêu đề Digest đã ký không được tính toán lại đối với phần thân yêu cầu nhận được. Do đó, một kẻ tấn công từ xa có thể lưu trữ một diễn viên ActivityPub và cặp khóa hợp lệ duy nhất để gửi các hoạt động có chữ ký hợp lệ được quy cho bất kỳ danh tính diễn viên nào mà họ đặt tên.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.