ActivityPub Undo handler can unfollow or remove reposts on behalf of other accounts

Özet

Türkçe özeti yalnızca kritik ve yüksek önemdeki açıklar için hazırlıyoruz. Bu açık için kaynağın kendi açıklamasını gösteriyoruz.

ActivityPub is a multi-tenant ActivityPub server for Ghost, built with Fedify. From 1.0.0 until 1.2.6, the Undo handler allows a remote federated server to cause the service to act on a follow or repost as though the activity came from a different account. This permits removal of an existing follow relationship or repost belonging to another account without that account's involvement. No private data is exposed and content is not modified; the affected relationships can be re-established. Services proxying to Ghost's hosted ActivityPub server have already been updated, while self-hosted services require an updated image and redeployment. This issue is fixed in version 1.2.6.

Etkilenen sürümler1 yazılım

Kaynaklar6 kaynak

• CVE.org kaydı
• NVD kaydı
• github.com/…ityPub/security/advisories/GHSA-mm4q-93gr-5mwc Diğer
• github.com/TryGhost/ActivityPub/pull/1929 Diğer
• github.com/…ommit/1526f540b983da97750b380868a210e6cdfb985e Diğer
• github.com/TryGhost/ActivityPub/releases/tag/v1.2.6 Diğer

Kayıt geçmişi

1. 31 Eki 2026 00:33Yayımlandı

İlgili açıklar

• 6,5 CVE-2026-118598epiphany: clipboard/website-data permission prompt incorrectly grants camera and microphone access
• 8,7 CVE-2026-110176Drupal File Force Download modülünde yetkisiz dosya erişimi (Drupal 7)
• 9,3 CVE-2026-117656pow-auth Assent Sign in with Apple geri çağrısında doğrulanmamış user parametresi kimlik kanıtlarını geçersiz kılıyor
• 7,6 CVE-2026-63414Shopify App Rails engine'de token exchange kimlik doğrulamasında mağaza bağlamı karışıklığı
• 8,3 CVE-2026-63338IXP Manager API anahtarı yönetiminde yetkisiz nesne erişimi (BOLA)
• 8,2 CVE-2026-58412Filecoin Pin GitHub Action: Privileged workflow'da fork kontrolü atlatma