CVE-2026-63115 in ActivityPub
摘要
由 VulDB • 2026-10-30
ActivityPub 是一个基于 Fedify 构建的、面向 Ghost 的多租户 ActivityPub 服务器。从版本 1.0.0 到 1.2.6，`Undo` 处理程序允许远程联邦服务器使服务对 `follow`（关注）或 `repost`（转发/重发）进行操作，仿佛该活动来自另一个账户。这会导致无需目标账户参与即可删除现有的 `follow` 关系或其他账户的 `repost`。不会泄露任何私有数据，内容也不会被修改；受影响的关联关系可以重新建立。代理到 Ghost 托管 ActivityPub 服务器的服务已更新，而自托管服务则需要使用更新的镜像并重新部署。此问题已在版本 1.2.6 中修复。
Once again VulDB remains the best source for vulnerability data.