CVE-2026-90679: в Forgejo раскрыта подмена идентичности через ActivityPub
В Forgejo 13.0.0–16.0.4 при включённой федерации обнаружена уязвимость подмены идентичности (spoofing) в обработчиках ActivityPub. Атакующий может отправлять криптографически подписанные действия от имени любого актора. Уязвимость оценена в 4.3 балла (MEDIUM) и не позволяет захватить аккаунт или изменить контент.
Подробности
Уязвимости подвержены версии Forgejo с 13.0.0 по 16.0.4 включительно. Согласно описанию CVE, при включённой федерации сервер не проверяет, что HTTP-подпись входящего действия ActivityPub была создана ключом именно того актора, который указан в теле действия. Механизм проверки реализован в файле routers/api/v1/activitypub/reqsignature.go и корректно валидирует подпись самого запроса. Однако обработчики входящих сообщений (inbox handlers) впоследствии извлекают действующую идентичность из JSON-тела, полностью контролируемого отправителем, и не связывают её с проверенным ключом подписи. Дополнительно подписанный заголовок Digest не пересчитывается по фактически полученному телу запроса. В результате удалённый атакующий, располагающий всего одним действительным актором ActivityPub и соответствующей парой ключей, может отправлять signature-valid действия, приписываемые любой произвольной идентичности. Это нарушает целостность идентичности в федеративной сети, хотя, как отмечается, не даёт возможности захватить чужой аккаунт или модифицировать контент. Уязвимости присвоен базовый балл CVSS 4.3, что соответствует уровню MEDIUM. Оценка отражает ограниченное влияние: эксплуатация подрывает доверие к авторству федеративных действий, но не приводит к компрометации учётных записей или данным.Что делать
Основная рекомендация — обновить Forgejo до версии, в которой уязвимость устранена. Если обновление невозможно в ближайшее время, следует рассмотреть временные меры: - отключить федерацию, установив «[federation] ENABLED = false», если она не используется критично для рабочих процессов; - ограничить сетевой доступ к эндпоинтам ActivityPub на уровне обратного прокси или файрвола, разрешив обращения только от доверенных инстансов; - усилить мониторинг входящих федеративных действий и журналирование несоответствий между заявленным актором и источником запроса. Важно понимать, что отключение федерации снижает функциональность, но полностью исключает вектор атаки до момента установки исправления. ИТОГ CVE-2026-90679 — умеренно опасная уязвимость подмены идентичности в Forgejo, проявляющаяся только при включённой федерации. Она не ведёт к захвату аккаунтов или изменению контента, однако позволяет выдавать действия за других акторов, что подрывает доверие к федеративной среде. Администраторам следует приоритизировать обновление до исправленной версии либо временно отключить федерацию и ограничить доступ к соответствующим эндпоинтам.Источник: CVE Project (cvelistV5)