CVE-2026-58593
Təsvir
NodeBB daxil olan ActivityPub obyektinin iddia edilən müəllifini autentifikasiyadan keçmiş uzaq aktyora bağlamır. Daxil olan sorğuları emal edən middleware HTTP-imza aktyorunu yoxlayır və object.id-nin mənşəyini yoxlayır, lakin attributedTo-nun göndərənə uyğun olduğunu heç vaxt təsdiqləmir. Obyekt mockunda attributedTo birbaşa uid kimi istifadə olunur və actors.assert rəqəmsal identifikatorları səssizcə nəzərə almır (uid-ni yenidən çıxarmadan onları filtrləyib kənarlaşdırır), buna görə federasiya olunmuş uzaq aktyor attributedTo sahəsini 1 kimi sadə rəqəmsal dəyərə təyin edə və nəticədə yaranan postun və ya şəxsi mesajın müəllifi kimi həmin lokal uid-in, o cümlədən administrator hesabının istifadə olunmasına nail ola bilər. Bu, uzaq təcavüzkaza ixtiyari lokal istifadəçilərə aid edilən post və birbaşa mesajları saxtalaşdırmağa imkan verir. ActivityPub/federasiya funksiyasının aktivləşdirilməsini tələb edir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| nodebb nodebb | v ≤ 4.13.2 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.