YesWiki: Replay von erfassten HTTP-Signatur-Anfragen über den ActivityPub-Inbox

Zusammenfassung

YesWiki ab 4.6.2 vor 4.7.0 prüft den Date-Header von HTTP-Signatur-Anfragen nicht und erfasst bereits gesehene Signaturen nicht. Ein Angreifer, der eine gültig signierte Anfrage an die ActivityPub-Inbox eines Formulars (/api/forms/{formId}/actor/inbox) abgefangen hat, kann diese später erneut senden und Delete-, Update-, Follow- oder Undo-Aktionen erneut ausführen lassen. Der Angreifer muss zuerst eine signierte Anfrage erfassen, zum Beispiel aus Logs oder dem Netzwerkverkehr.

Betroffen

• YesWiki ab 4.6.2 vor 4.7.0
• Versionen vor 4.6.2: Unbekannt.

Behoben in

• Auf YesWiki 4.7.0 aktualisieren.

Umgehung

• Unbekannt. Es ist kein vom Hersteller dokumentierter Workaround bekannt.
• Nicht belegt: Wenn Federation nicht benötigt wird, diese deaktivieren oder den externen Zugriff auf den Inbox-Pfad am Reverse Proxy blockieren, bis die Aktualisierung erfolgt ist.

Ausnutzung

• Nicht bekannt, dass die Schwachstelle aktiv ausgenutzt wird.
• Nicht im CISA KEV aufgeführt.
• Kein öffentlicher Exploit-Code in Metasploit oder Exploit-DB indexiert und kein öffentliches Nuclei-Template aufgeführt.
• EPSS: 0.22 % (Perzentil 13).

Unsere Empfehlung

• YesWiki so bald wie möglich auf 4.7.0 aktualisieren; diese Version behebt auch weitere YesWiki-Probleme.
• Prüfen, ob die ActivityPub-Federation aktiviert ist und ob die Inbox aus dem Internet erreichbar ist.
• Wenn die Aktualisierung verzögert wird, Federation deaktivieren oder den Zugriff auf den Inbox-Pfad am Reverse Proxy einschränken.
• Logs auf unerwartete Delete-, Update-, Follow- oder Undo-Aktivitäten prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-7m9j-h553-397x github.com
• VulnCheck advisory: YesWiki HTTP Signature Replay via ActivityPub Inbox www.vulncheck.com
• OffSeq Radar: YesWiki replay protection radar.offseq.com
• ThreatInt CVE record CVE-2026-116825 cve.threatint.com
• OpenCVE CVE-2026-116825 app.opencve.io
• Strix CVE-2026-116825 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 13:13.