p PatchFirst

CVE-2026-34148

CVE-2026-34148 · Fedify affected by resource exhaustion caused by unbounded redirect following during remote key/document resolution

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

Fedify is a TypeScript library for building federated server apps powered by ActivityPub. Prior to 1.9.6, 1.10.5, 2.0.8, and 2.1.1, @fedify/fedify follows HTTP redirects recursively in its remote document loader and authenticated document loader without enforcing a maximum redirect count or visited-URL loop detection. An attacker who controls a remote ActivityPub key or actor URL can force a server using Fedify to make repeated outbound requests from a single inbound request, leading to resource consumption and denial of service. This vulnerability is fixed in 1.9.6, 1.10.5, 2.0.8, and 2.1.1.

CVSS 7.5 · Высокий · EPSS 0,6% · Есть исправление

Опубликовано
Обновлено

Стек: node

Затронутые продукты и версии

  • fedify

    Версии
    • < 1.9.6: Затронуто
    • >= 1.10.0, < 1.10.5: Затронуто
    • >= 2.0.0, < 2.0.8: Затронуто
    • >= 2.1.0, < 2.1.1: Затронуто

    Нет опубликованного исправления

  • vocab-runtime

    Версии
    • < 2.0.8: Затронуто
    • >= 2.1.0, < 2.1.1: Затронуто

    Нет опубликованного исправления

  • @fedify/fedify npm

    Затронутые диапазоны версий
    • SEMVER: < 1.9.6

    Обновитесь до 1.9.6

  • @fedify/vocab-runtime npm

    Затронутые диапазоны версий
    • SEMVER: < 2.0.8

    Обновитесь до 2.0.8

  • @fedify/vocab-runtime npm

    Версии
    • 2.1.0
    Затронутые диапазоны версий
    • SEMVER: ≥ 2.1.0, < 2.1.1

    Обновитесь до 2.1.1

  • @fedify/fedify npm

    Затронутые диапазоны версий
    • SEMVER: ≥ 1.10.0, < 1.10.5

    Обновитесь до 1.10.5

  • @fedify/fedify npm

    Затронутые диапазоны версий
    • SEMVER: ≥ 2.0.0, < 2.0.8

    Обновитесь до 2.0.8

  • @fedify/fedify npm

    Версии
    • 2.1.0
    Затронутые диапазоны версий
    • SEMVER: ≥ 2.1.0, < 2.1.1

    Обновитесь до 2.1.1

Первоисточники

Проверьте свой сервер →