CVE-2026-63115 — contournement d’autorisation lors d’activités Undo dans Ghost ActivityPub

Veille sécuritéCMS & e-commerce

P4Moyenne

Dans le serveur ActivityPub pour Ghost, un serveur fédéré distant pouvait envoyer une activité `Undo` et faire supprimer un lien de suivi ou un republication appartenant à un autre compte. Aucune donnée privée n’est exposée et le contenu n’est pas modifié; la version 1.2.6 corrige le problème, et les installations auto-hébergées doivent mettre à jour leur image puis la redéployer.

IdentifiantCVE-2026-63115

GravitéMoyenne

Exploitationnon connue / non déterminée

Correctif1.2.6

Source : NVD — CVE-2026-63115

Analyse technique

Le gestionnaire `Undo` ne vérifiait pas que l’acteur distant était autorisé à annuler l’activité `follow` ou `repost` visée. Les relations concernées peuvent être rétablies.

Impact, versions et correctif

Événement datéLa fiche NVD indique une publication le 2026-10-30 à 22:16:57.963Z, soit le 2026-10-31 à 00:16:57.963 +02:00, dans la période demandée. Sa mise à jour du 2026-11-02 est postérieure à la borne de fin et n’est pas retenue comme événement de la période.

ImpactUn serveur fédéré distant pouvait supprimer les relations de suivi ou les republications d’un autre compte sans son intervention; aucune donnée privée n’est exposée et le contenu n’est pas modifié.

Versions affectées>= 1.0.0 et < 1.2.6

Version corrigée1.2.6

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS5.3 · CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N

EPSS0,14% · percentile 3,6%

Publication2026-10-31T00:16:57.963+02:00

Action recommandée

Mettre à jour les déploiements auto-hébergés vers ActivityPub 1.2.6 ou une version ultérieure et redéployer l’image. Le service ActivityPub hébergé par Ghost a déjà été mis à jour.

Sources

NVD — CVE-2026-63115

Priorisation DFS : P4 · 1 source(s).