CVE-2023-36459
KrytyczneCVSS 9.3Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 61 - wyżej niż 61% wszystkich znanych CVE
Streszczenie
Mastodon, serwer społecznościowy oparty na ActivityPub, ma lukę, która pozwala atakującym na obejście sanitizacji HTML przy użyciu spreparowanych danych oEmbed. To umożliwia wstrzykiwanie dowolnego HTML do kart podglądu oEmbed, co stwarza wektor ataku XSS.
Ocena ryzyka
Luka ta może prowadzić do wykonania złośliwego kodu w przeglądarkach użytkowników, co zagraża bezpieczeństwu danych i prywatności użytkowników. Atakujący mogą wykorzystać tę podatność do przeprowadzenia ataków phishingowych lub kradzieży danych.
Rekomendacja
Zaleca się aktualizację Mastodona do wersji 3.5.9, 4.0.5 lub 4.1.3, które zawierają poprawkę dla tej luki. Należy również monitorować i edukować użytkowników na temat potencjalnych zagrożeń związanych z klikaniem w nieznane linki.
Oryginalny opis (angielski, źródło NVD)
Mastodon is a free, open-source social network server based on ActivityPub. Starting in version 1.3 and prior to versions 3.5.9, 4.0.5, and 4.1.3, an attacker using carefully crafted oEmbed data can bypass the HTML sanitization performed by Mastodon and include arbitrary HTML in oEmbed preview cards. This introduces a vector for cross-site scripting (XSS) payloads that can be rendered in the user's browser when a preview card for a malicious link is clicked through. Versions 3.5.9, 4.0.5, and 4.1.3 contain a patch for this issue.