CVE-2026-62857
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Fedify w wersjach od 1.2.0 do 2.3 (w określonych liniach) w funkcji getNodeInfo() podąża za kontrolowanym przez atakującego linkiem links[].href z /.well-known/nodeinfo bez walidacji schematu, przekierowań ani adresów prywatnych. Umożliwia to wysyłanie żądań do usług loopback, link-local, metadanych chmury i sieci prywatnych oraz odczytywanie ich treści. Problem naprawiono w wersjach 1.9.13, 1.10.12, 2.0.22, 2.1.18, 2.2.7 i 2.3.2.
Ocena ryzyka
Atakujący może wykorzystać serwer do skanowania wewnętrznej sieci, uzyskać dostęp do metadanych chmury lub innych wrażliwych usług, co może prowadzić do wycieku danych lub eskalacji uprawnień.
Rekomendacja
Zaktualizuj Fedify do jednej z załatanych wersji. Dodatkowo ogranicz wychodzące żądania HTTP i waliduj adresy URL.
Inne podatności w Fedify
Zobacz wszystkie- CVE-2026-50131Wysokie
Fedify, biblioteka TypeScript do budowania serwerów federacyjnych, zawiera niekompletną walidację adresów IPv4 w funkcji validatePublicUrl(). Funkcja ta blokuje typowe zakresy prywatne, ale przepuszcza wiele specjalnych, zastrzeżonych, multicastowych i innych zakresów, co pozwala na obejście zabezpieczeń SSRF. Problem dotyczy wersji od 0.11.2 do 1.9.12, 1.10.11, 2.0.19, 2.1.15 i 2.2.4, w których wprowadzono poprawkę.
- CVE-2026-42462Wysokie
Fedify, biblioteka TypeScript do budowania serwerów federacyjnych z ActivityPub, jest podatna na atak wykorzystujący funkcje JSON-LD. Atakujący może zmienić strukturę dokumentu JSON-LD bez zmiany jego podpisu Linked Data Signature, co pozwala na modyfikację podpisanej przez stronę trzecią aktywności.
Oryginalny opis (angielski, źródło NVD)
Fedify is a TypeScript library for building federated server apps powered by ActivityPub. From version 1.2.0 through the affected 1.9, 1.10, 2.0, 2.1, 2.2, and 2.3 maintenance lines, getNodeInfo() follows an attacker-controlled links[].href value from /.well-known/nodeinfo without scheme, redirect, or private-address validation, allowing requests to loopback, link-local, cloud metadata, and private-network services and returning their response bodies. This issue is fixed in versions 1.9.13, 1.10.12, 2.0.22, 2.1.18, 2.2.7, and 2.3.2.