CVE-2026-90679
Açıklama
"[federation] ENABLED = true" ayarı yapıldığında Forgejo 13.0.0 ile 16.0.4 sürümleri arasında, kimlik bütünlüğünü etkileyen ancak hesap ele geçirmeye veya içerik değişikliğine izin vermeyen bir spoofing sorunu bulunmaktadır. Gelen bir ActivityPub aktivitesindeki HTTP Signature'ın, aktivite gövdesinde adı geçen aktöre ait anahtar tarafından üretilip üretilmediği doğrulanmamaktadır. routers/api/v1/activitypub/reqsignature.go dosyasındaki imza doğrulaması istek imzasını geçerli kılar, ancak gelen kutusu aktivite işleyicileri daha sonra hareket eden kimliği, bunu doğrulanmış imzalama anahtarına bağlamadan saldırgan tarafından kontrol edilen JSON gövdesinden okur. Ek olarak, imzalı Digest başlığı alınan istek gövdesine göre yeniden hesaplanmaz. Bu nedenle, tek bir geçerli ActivityPub aktörü ve anahtar çiftine sahip olan uzak bir saldırgan, belirttikleri herhangi bir aktör kimliğine atfedilen imza-geçerli aktiviteler gönderebilir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Forgejo Forgejo | 13.0.0 ≤ v ≤ 16.0.4 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.