BotKit by Fedify

BotKit security updates: 0.4.7 and 0.5.4

BotKit has issued urgent security releases to remediate three vulnerabilities stemming from its underlying Fedify dependency, led by a critical actor impersonation flaw (CVE-2026-96625) that allows arbitrary attackers to forge activities under any identity due to unverified signing key ownership claims. The update also addresses high-severity denial-of-service risks from unbounded remote JSON parsing (CVE-2026-96623) by enforcing a 16 MiB post-decompression payload limit, alongside server-side request forgery weaknesses in outbound activity delivery paths (CVE-2026-96624) by validating initial destination and redirect targets. Upgrading immediately to BotKit 0.4.7 or 0.5.4—and clearing any custom key caches—is vital to protecting federated bots from complete identity spoofing and internal network exploitation.

Read full article

BotKit security updates: 0.4.6 and 0.5.2

BotKit has released security updates to address two vulnerabilities from its Fedify dependency, CVE-2026-77632 and CVE-2026-69132. The high-severity flaw is a blind server-side request forgery (SSRF) where unvalidated HTTP redirect targets in the authenticated document loader can expose private network addresses. Additionally, a medium-severity denial-of-service (DoS) vulnerability in the outbound delivery circuit breaker allows attackers to exhaust storage by inflating state records. Upgrading to BotKit 0.4.6 or 0.5.2 resolves these issues by validating redirect URLs and bounding state lifespans. Applying these patches is essential for protecting federated applications from unauthorized internal requests and resource exhaustion.

Read full article

BotKit security updates: 0.4.5 and 0.5.1

A security vulnerability, CVE-2026-62857, affects BotKit applications due to a flaw in Fedify's NodeInfo client. The issue arises during remote server lookups where unvalidated redirect destinations can allow attackers to point requests toward non-public network resources, including loopback and local addresses. A fix has been implemented to enforce public-address validation, restrict redirect hops, and reject non-HTTP(S) protocols. Upgrading to BotKit version 0.4.5 or 0.5.1 secures applications against unauthorized internal network access.

Read full article

BotKit 프레임워크를 사용하여 RSS, Atom, RDF 피드를 주기적으로 감시하고, 새 글이 올라오면 페디버스에 자동으로 게시하는 고성능 봇을 구축할 수 있습니다. 단일 피드를 감시하는 기본 봇 제작부터 시작하여, @rowanmanning/feed-parser 라이브러리를 활용한 통합 피드 파싱과 SQLite 데이터베이스 기반의 상태 저장을 설정합니다. 이를 통해 서버가 갑자기 재시작되어도 조용히 글을 누락하지 않고 복구하는 안정적인 예약 폴링 시스템을 구현합니다. 나아가 단일 봇을 createInstance와 동적 봇 그룹(BotGroup) 구조로 확장함으로써, 사용자가 등록용 봇에 피드 URL을 멘션하는 것만으로 서버 재배포 없이 데이터베이스 쓰기만으로 작동하는 피드별 전용 봇을 즉시 생성할 수 있습니다. 이 과정에서 연합 우주에 고정되는 식별자(identifier)와 사용자명(slug)을 엄격히 분리하여 유연성을 확보하고, 기존 배포 환경의 마이그레이션 및 개별 피드 가져오기 타임아웃 등 견고한 다중 액터 처리 기법을 습득합니다. 이 가이드는 BotKit의 멀티 액터 아키텍처와 영속성 설계를 온전히 활용하여 확장 가능하고 안정적인 대규모 페디버스 자동화 서비스를 설계하는 데 필수적인 통찰력을 선사합니다.