YesWiki: Authentifizierungsumgehung im ActivityPub-Inbox per Actor-Spoofing

Zusammenfassung

YesWiki enthält eine Authentifizierungsumgehung im ActivityPub-Inbox. Das Inbox prüft die HTTP-Signatur einer Anfrage, vergleicht aber nicht, ob der verifizierte Schlüsselinhaber mit dem im Activity genannten Actor übereinstimmt. Ein nicht authentifizierter Angreifer mit einem beliebigen ActivityPub-Schlüsselpaar kann signierte Delete- oder Update-Aktivitäten senden, die auf die sourceUrl eines gespiegelten Eintrags verweisen. So lassen sich föderierte Einträge anderer Akteure löschen oder überschreiben. Voraussetzung ist, dass ActivityPub auf mindestens einem Bazar-Formular aktiviert ist; das CNA bewertet die Schwachstelle mit CVSS 4.0 8.8 (High), betroffen sind vor allem die Integrität und in geringerem Mass die Verfügbarkeit.

Betroffen

• Vendor-Advisory (GHSA-rm6r-grfg-4v78): YesWiki (Composer-Paket yeswiki/yeswiki) >= 4.6.2, < 4.7.0.
• CNA-Eintrag (VulnCheck): alle Versionen vor 4.6.7.
• Die beiden Quellen widersprechen sich. Versionen vor 4.6.2 gelten bis zur Bestätigung durch das Vendor-Advisory als betroffen.
• Voraussetzung: ActivityPub-Föderation ist auf mindestens einem Bazar-Formular aktiviert.

Behoben in

• Upgrade auf YesWiki 4.7.0 (korrigierte Version laut Vendor-Advisory).
• Der CNA-Eintrag führt 4.6.7 als nicht betroffen. Vor der Wahl der Zielversion das Vendor-Advisory prüfen; im Zweifel 4.7.0 oder neuer einsetzen.

Umgehung

• Kein vom Hersteller dokumentierter Workaround. Bestätigt ist nur das Upgrade.
• Bis zum Upgrade ActivityPub auf Bazar-Formularen deaktivieren, falls keine Föderation benötigt wird, oder den Netzwerkzugriff auf POST /api/forms/{formId}/actor/inbox einschränken. Dies ist für diese CVE nicht bestätigt, entfernt aber die Angriffsfläche.

Ausnutzung

• Nicht im CISA-KEV-Katalog; keine bekannte Ausnutzung.
• Kein öffentlicher Proof of Concept oder Exploit-Code gefunden.
• CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung partiell.
• EPSS etwa 0,4 Prozent. VulDB führt den Status bei der Veröffentlichung als 0-Day; dies spiegelt nur den Zeitpunkt wider.

Unsere Empfehlung

• Alle YesWiki-Instanzen identifizieren, auch nicht mehr gepflegte, und prüfen, ob ActivityPub aktiviert ist.
• Auf 4.7.0 oder neuer upgraden. Ein Upgrade deckt auch die verwandten, im selben Release behobenen CVE-2026-104463 und CVE-2026-104458 ab.
• Falls ActivityPub nicht benötigt wird, jetzt deaktivieren.
• Föderierte Einträge auf unerwartete Löschungen oder Änderungen prüfen und bei Bedarf aus dem Backup wiederherstellen.
• Webserver-Logs auf POST-Anfragen an den Actor-Inbox-Endpunkt überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-rm6r-grfg-4v78 github.com
• VulnCheck advisory www.vulncheck.com
• OSV CVE-2026-104445 osv.dev
• CNA record via Vulners (CVELIST) vulners.com
• Mend entry via Vulners vulners.com
• VulDB 413088 vuldb.com
• OpenCVE CVE-2026-104445 app.opencve.io
• Related advisory CVE-2026-104458 (ionix.io) www.ionix.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 22:51.