Podatności Fedify
3 znanych podatności CVE w Fedify, przetłumaczonych i ocenionych.
- CVE-2026-62857Wysokie
Fedify w wersjach od 1.2.0 do 2.3 (w określonych liniach) w funkcji getNodeInfo() podąża za kontrolowanym przez atakującego linkiem links[].href z /.well-known/nodeinfo bez walidacji schematu, przekierowań ani adresów prywatnych. Umożliwia to wysyłanie żądań do usług loopback, link-local, metadanych chmury i sieci prywatnych oraz odczytywanie ich treści. Problem naprawiono w wersjach 1.9.13, 1.10.12, 2.0.22, 2.1.18, 2.2.7 i 2.3.2.
- CVE-2026-50131Wysokie
Fedify, biblioteka TypeScript do budowania serwerów federacyjnych, zawiera niekompletną walidację adresów IPv4 w funkcji validatePublicUrl(). Funkcja ta blokuje typowe zakresy prywatne, ale przepuszcza wiele specjalnych, zastrzeżonych, multicastowych i innych zakresów, co pozwala na obejście zabezpieczeń SSRF. Problem dotyczy wersji od 0.11.2 do 1.9.12, 1.10.11, 2.0.19, 2.1.15 i 2.2.4, w których wprowadzono poprawkę.
- CVE-2026-42462Wysokie
Fedify, biblioteka TypeScript do budowania serwerów federacyjnych z ActivityPub, jest podatna na atak wykorzystujący funkcje JSON-LD. Atakujący może zmienić strukturę dokumentu JSON-LD bez zmiany jego podpisu Linked Data Signature, co pozwala na modyfikację podpisanej przez stronę trzecią aktywności.