CVE-2026-42462
WysokieCVSS 7.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Fedify, biblioteka TypeScript do budowania serwerów federacyjnych z ActivityPub, jest podatna na atak wykorzystujący funkcje JSON-LD. Atakujący może zmienić strukturę dokumentu JSON-LD bez zmiany jego podpisu Linked Data Signature, co pozwala na modyfikację podpisanej przez stronę trzecią aktywności.
Ocena ryzyka
Organizacja może otrzymać zmodyfikowaną, ale wciąż prawidłowo podpisaną aktywność, co może prowadzić do naruszenia integralności danych i potencjalnych ataków socjotechnicznych.
Rekomendacja
Zaleca się natychmiastową aktualizację Fedify do wersji 1.9.11, 1.10.10, 2.0.18, 2.1.14 lub 2.2.3, w zależności od używanej gałęzi.
Inne podatności w Fedify
Zobacz wszystkie- CVE-2026-62857Wysokie
Fedify w wersjach od 1.2.0 do 2.3 (w określonych liniach) w funkcji getNodeInfo() podąża za kontrolowanym przez atakującego linkiem links[].href z /.well-known/nodeinfo bez walidacji schematu, przekierowań ani adresów prywatnych. Umożliwia to wysyłanie żądań do usług loopback, link-local, metadanych chmury i sieci prywatnych oraz odczytywanie ich treści. Problem naprawiono w wersjach 1.9.13, 1.10.12, 2.0.22, 2.1.18, 2.2.7 i 2.3.2.
- CVE-2026-50131Wysokie
Fedify, biblioteka TypeScript do budowania serwerów federacyjnych, zawiera niekompletną walidację adresów IPv4 w funkcji validatePublicUrl(). Funkcja ta blokuje typowe zakresy prywatne, ale przepuszcza wiele specjalnych, zastrzeżonych, multicastowych i innych zakresów, co pozwala na obejście zabezpieczeń SSRF. Problem dotyczy wersji od 0.11.2 do 1.9.12, 1.10.11, 2.0.19, 2.1.15 i 2.2.4, w których wprowadzono poprawkę.
Oryginalny opis (angielski, źródło NVD)
Fedify is a TypeScript library for building federated server apps powered by ActivityPub. Prior to versions 1.9.11, 1.10.10, 2.0.18, 2.1.14, and 2.2.3, an attacker can make use of JSON-LD features to restructure a JSON-LD document that would change how Fedify interprets it without changing its Linked Data Signature, allowing them to alter a third-party signed activity they have received. Versions 1.9.11, 1.10.10, 2.0.18, 2.1.14, and 2.2.3 fix the issue.