CVE-2026-90679
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
Forgejo w wersjach 13.0.0 do 16.0.4, gdy ustawiono "[federation] ENABLED = true", ma problem z podszywaniem się wpływający na integralność tożsamości, ale nie pozwalający na przejęcie konta ani modyfikację treści. Nie weryfikuje, czy podpis HTTP przychodzącej aktywności ActivityPub został wytworzony przez klucz należący do aktora wskazanego w treści. Zdalny atakujący z jednym ważnym aktorem ActivityPub i parą kluczy może przesyłać aktywności z podpisem ważnym, ale przypisane do dowolnej tożsamości.
Ocena ryzyka
Podatność pozwala na podszywanie się pod dowolnego aktora w federacji ActivityPub, co może prowadzić do dezinformacji i naruszenia zaufania do tożsamości w federowanych instancjach. Nie umożliwia przejęcia konta ani modyfikacji treści, ale może być wykorzystana do działań socjotechnicznych.
Rekomendacja
Zaktualizuj Forgejo do wersji nowszej niż 16.0.4, jeśli dostępna jest poprawka. Jeśli federacja nie jest potrzebna, wyłącz ją; w przeciwnym razie monitoruj nietypowe aktywności federacyjne.
Inne podatności w Forgejo
Zobacz wszystkie- CVE-2026-89094Krytyczne
Forgejo w wersjach przed 16.0.4 pozwala na zdalne wykonanie kodu poprzez spreparowane repozytorium szablonów, ponieważ rozwijanie szablonów na plikach w .forgejo/template jest nieprawidłowo obsługiwane.
- CVE-2025-68937Krytyczne
Forgejo przed wersją 13.0.2 pozwala atakującym na zapis do nieprzeznaczonych plików oraz prawdopodobnie uzyskanie dostępu do powłoki serwera z powodu nieprawidłowego obsługiwania celów dowiązań symbolicznych poza repozytorium dla repozytoriów szablonów. Poprawka jest również dostępna dla wersji 11 LTS w 11.0.7 i późniejszych.
- CVE-2026-89151Niskie
W Forgejo przed wersją 16.0.4 istnieje możliwość użycia ograniczonych tokenów API do niezamierzonego dostępu do funkcji "allow maintainer edit".
- CVE-2026-82556Średnie
Podatność w Forgejo do wersji 15.0.4 w funkcji net.LookupIP w pliku is_migrate_allowed.go umożliwia zdalny atak typu server-side request forgery (SSRF). Atak może być przeprowadzony zdalnie, a exploit jest publiczny.
- CVE-2026-59102Średnie
Forgejo przed wersją 15.0.3 zawiera podatność na trwałe ataki XSS, umożliwiającą uwierzytelnionym atakującym wykonanie dowolnego kodu JavaScript w przeglądarkach innych użytkowników. Atak polega na ustawieniu pełnej nazwy zawierającej ładunek HTML i uruchomieniu zadania Actions. Gdy opcja DEFAULT_SHOW_FULL_NAME jest włączona, opis zadania jest składany po stronie serwera z nazwą użytkownika wstawioną do ciągu HTML przez funkcję tłumaczącą, która nie escapuje argumentów, a frontend renderuje wynik za pomocą wiązania v-html Vue, co powoduje wykonanie skryptu dla każdego użytkownika przeglądającego stronę dotkniętego zadania Actions.
Oryginalny opis (angielski, źródło NVD)
Forgejo 13.0.0 through 16.0.4, when "[federation] ENABLED = true" is set, has a spoofing issue that affects identity integrity but does not allow account takeover or content modification. It does not verify that the HTTP Signature on an incoming ActivityPub activity was produced by the key belonging to the actor named in the activity body. The signature verification in routers/api/v1/activitypub/reqsignature.go validates the request signature, but the inbox activity handlers subsequently read the acting identity from the attacker-controlled JSON body without binding it to the verified signing key. Additionally, the signed Digest header is not recomputed against the received request body. A remote attacker who hosts a single valid ActivityPub actor and keypair can therefore submit signature-valid activities attributed to any actor identity they name.