CVE-2026-42462
Publiée le 2026-06-10 · Dernière modification le 2026-07-23
Les serveurs utilisant des versions affectées de la bibliothèque TypeScript Fedify sont susceptibles de subir un contournement de signature lors du traitement de données ActivityPub fédérées. Un attaquant distant non authentifié peut manipuler la structure d'un document JSON-LD signé pour modifier le contenu d'une activité tierce sans rompre sa signature numérique. Bien que l'exécution de cette attaque nécessite un effort technique important, elle permet à un attaquant d'usurper l'identité d'un tiers ou de modifier des messages signés envoyés à votre serveur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Fedify is a TypeScript library for building federated server apps powered by ActivityPub. Prior to versions 1.9.11, 1.10.10, 2.0.18, 2.1.14, and 2.2.3, an attacker can make use of JSON-LD features to restructure a JSON-LD document that would change how Fedify interprets it without changing its Linked Data Signature, allowing them to alter a third-party signed activity they have received. Versions 1.9.11, 1.10.10, 2.0.18, 2.1.14, and 2.2.3 fix the issue.