Discourse ActivityPub: Fehlende Berechtigungsprüfung bei föderierten Beiträgen
Zusammenfassung
Das Discourse-ActivityPub-Plugin prüft eingehende, signierte Anfragen nicht ausreichend. Es wird nicht geprüft, ob der authentifizierte Akteur mit dem Activity-Akteur übereinstimmt und den referenzierten föderierten Beitrag besitzt. Ein entfernter Angreifer kann damit föderierte Beiträge ohne die erforderlichen Berechtigungen bearbeiten, löschen oder darauf antworten. Es sind keine Berechtigungen und keine Benutzerinteraktion nötig, betroffen sind jedoch nur Foren mit installiertem Plugin und aktivierter Föderation.
Betroffen
- discourse-activity-pub-Versionen vor Commit 1c8518b0f2abdf31cbea3e0b242f74d8994a9ba5
- Genauer betroffener Versionsbereich: Unbekannt (Upstream-Release oder Tag mit dem Fix nicht identifiziert)
Behoben in
- Behoben in Commit 1c8518b0f2abdf31cbea3e0b242f74d8994a9ba5
- Behobene Versionsnummer: Unbekannt
Umgehung
- Keine dokumentiert.
- Falls das Plugin nicht benötigt wird, die ActivityPub-Föderation deaktivieren, bis der behebende Commit eingesetzt ist.
Ausnutzung
- Automatisierbar: ja (CISA SSVC)
- Öffentlich bekannter Proof-of-Concept-Exploit: zum Zeitpunkt der Erstellung keiner bestätigt
- Bekannte Ausnutzung in freier Wildbahn: keine gefunden
- Eintrag im CISA-KEV-Katalog: nicht verifiziert
Unsere Empfehlung
- Prüfen, ob das Plugin discourse-activity-pub installiert ist und die Föderation aktiviert ist.
- Falls es nicht benötigt wird, die Föderation deaktivieren.
- Andernfalls auf den Upstream-Code mit Commit 1c8518b0f2abdf31cbea3e0b242f74d8994a9ba5 aktualisieren und prüfen, ob der Commit im eigenen Build enthalten ist. Community-Forks ohne Verifikation nicht vertrauen.
- Föderierte Beiträge auf unerwartete Bearbeitungen, Löschungen oder Antworten prüfen.
- Ausserdem den Commit auf die im Advisory-Titel erwähnte SSRF-Härtung für ausgehende Anfragen prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub commit 1c8518b0 (fix) github.com
- GitHub Security Advisory GHSA-jw39-rch6-mhwf github.com
- OSV: CVE-2026-55103 osv.dev
- Vulners NVD: CVE-2026-55103 vulners.com
- Discourse ActivityPub plugin (Meta) meta.discourse.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 08:06.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.