CVE-2026-58593

NodeBB, gelen bir ActivityPub nesnesinin beyan edilen yazarını, kimliği doğrulanmış uzak aktöre bağlamamaktadır. Gelen ara yazılım (middleware), HTTP-signature aktörünü doğrular ve object.id'nin kaynağını kontrol eder ancak attributedTo alanının gönderenle eşleştiğini hiçbir zaman doğrulamaz. Nesne taklidinde (object mock), attributedTo doğrudan bir uid olarak kullanılır ve actors.assert sayısal tanımlayıcıları sessizce yoksayar (uid'yi yeniden türetmeden bunları filtreler); bu nedenle, federasyon kapsamındaki uzak bir aktör, attributedTo değerini 1 gibi yalın bir sayısal değere ayarlayabilir ve sonuçta ortaya çıkan gönderinin veya özel mesajın, yönetici hesabı da dahil olmak üzere o yerel uid ile yazar olarak oluşturulmasını sağlayabilir. Bu durum, uzak bir saldırganın rastgele yerel kullanıcılara atfedilen sahte gönderiler ve direkt mesajlar oluşturmasına olanak tanır. ActivityPub/federasyon özelliğinin etkinleştirilmiş olması gerekir.