CVE-2025-62174
NiskieCVSS 3.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
W Mastodon przed wersjami 4.4.6, 4.3.14 i 4.2.27, gdy administrator resetuje hasło użytkownika za pomocą interfejsu wiersza poleceń `bin/tootctl accounts modify --reset-password`, aktywne sesje i tokeny dostępu tego konta nie są unieważniane. Pozwala to atakującemu z dostępem do wcześniej przejętej sesji lub tokenu na dalsze korzystanie z konta po resecie hasła. Problem naprawiono w wersjach 4.2.27, 4.3.14 i 4.4.6; nie znane są obejścia.
Ocena ryzyka
Jeśli konto zostało przejęte, reset hasła przez administratora nie odetnie atakującego, który nadal może używać aktywnej sesji lub tokenu. Może to prowadzić do dalszego nieautoryzowanego dostępu do konta i danych.
Rekomendacja
Zaktualizuj Mastodon do wersji 4.2.27, 4.3.14 lub 4.4.6. Po resecie hasła ręcznie unieważnij aktywne sesje i tokeny użytkownika.
Inne podatności w Mastodon
Zobacz wszystkie- CVE-2026-22245Wysokie
Mastodon, serwer sieci społecznościowej oparty na ActivityPub, ma lukę w mechanizmie ochronnym blokującym żądania do lokalnych adresów IP. Brakuje niektórych zakresów adresów IP, które mogą być użyte do dotarcia do lokalnych adresów, co pozwala atakującemu na wykonywanie żądań HTTP do pętli zwrotnej lub hostów w sieci lokalnej, potencjalnie uzyskując dostęp do prywatnych zasobów i usług. Problem został naprawiony w wersjach Mastodon v4.5.4, v4.4.11, v4.3.17 i v4.2.29.
- CVE-2023-36460Krytyczne
Mastodon, serwer społecznościowy oparty na ActivityPub, ma podatność, która pozwala atakującym na tworzenie i nadpisywanie dowolnych plików w systemie poprzez starannie przygotowane pliki multimedialne. Dotyczy to wersji od 3.5.0 do 3.5.8 oraz 4.0.0 do 4.1.2.
- CVE-2023-36459Krytyczne
Mastodon, serwer społecznościowy oparty na ActivityPub, ma lukę, która pozwala atakującym na obejście sanitizacji HTML przy użyciu spreparowanych danych oEmbed. To umożliwia wstrzykiwanie dowolnego HTML do kart podglądu oEmbed, co stwarza wektor ataku XSS.
- CVE-2026-59825Wysokie
Podatność w Mastodonie przed wersjami 4.4.19 i 4.5.12. Plik ldap_authenticable.rb modyfikuje globalne parametry OpenSSL, gdy LDAP używa LDAP_TLS_NO_VERIFY=true, wyłączając weryfikację certyfikatów SSL/TLS dla procesów puma.
- CVE-2026-72916Średnie
W Mastodon przed wersjami 4.4.21, 4.5.14, 4.6.4 i 4.7.0-beta.1 funkcja PrivateAddressCheck.private_address? nie rozpoznaje adresów IPv4-compatible IPv6, co pozwala atakującemu ominąć ochronę ALLOWED_PRIVATE_ADDRESSES i wysyłać żądania HTTP do interfejsów loopback, potencjalnie uzyskując dostęp do prywatnych zasobów. Wymaga to systemu obsługującego przestarzały mechanizm IPv4-compatible IPv6.
- CVE-2026-72915Wysokie
Mastodon to darmowy serwer sieci społecznościowej oparty na ActivityPub. Od wersji 4.6.0-beta.1 do 4.6.4 i 4.7.0-beta.1 każdy zalogowany użytkownik lokalny mógł użyć akcji show w kontrolerze app/controllers/admin/collections_controller.rb, aby uzyskać dostęp do danych osobowych innego użytkownika lokalnego w kolekcji, ponieważ kontroler używał ogólnej polityki kolekcji zamiast polityki kolekcji administracyjnej. Ujawnione dane obejmowały aktualny adres e-mail i ostatnio używany adres IP innego użytkownika. Problem naprawiono w wersjach 4.6.4 i 4.7.0-beta.1.
- CVE-2026-72914Wysokie
Mastodon to darmowy serwer sieci społecznościowej oparty na ActivityPub. Przed wersjami 4.4.21, 4.5.14, 4.6.4 i 4.7.0-beta.1 administracyjne punkty końcowe statystyk obsługiwane przez Api::V1::Admin::MeasuresController i Api::V1::Admin::RetentionController sprawdzały autoryzację dopiero po rozpoczęciu kosztownych obliczeń. Anonimowi wywołujący mogli przesyłać parametry keys, start_at i end_at, które powodowały długotrwałe zapytania SQL w Admin::Metrics::Measure, Admin::Metrics::Retention i Admin::Metrics::Dimension::BaseDimension, umożliwiając wielokrotne żądania wyczerpujące zasoby serwera. Problem naprawiono w wersjach 4.4.21, 4.5.14, 4.6.4 i 4.7.0-beta.1.
- CVE-2026-50129Wysokie
Mastodon przed wersjami 4.5.11, 4.4.18 i 4.3.24 zawiera podatność typu DoS spowodowaną brakiem obsługi wyjątków w sanitarze matematycznym. Złośliwe węzły <math> mogą prowadzić do awarii całego serwera lub usług użytkowników, w zależności od interakcji z tymi węzłami.
- CVE-2026-50128Średnie
Mastodon, serwer społecznościowy oparty na ActivityPub, ma lukę w wersjach od 4.3.0 do 4.5.11 oraz 4.4.18, która pozwala na modyfikację wartości attributionDomains w podpisanych aktywnościach. Błąd w definicji tego terminu uniemożliwia skuteczne weryfikowanie podpisów Linked Data.
- CVE-2026-48028Średnie
Mastodon przed wersjami 4.5.10, 4.4.17 i 4.3.23 nieprawidłowo normalizował przychodzące aktywności podpisane za pomocą Linked-Data Signatures, co umożliwiało atakującym usuwanie wpisów JSON z ważnych podpisanych aktywności od zewnętrznych podmiotów.
Oryginalny opis (angielski, źródło NVD)
Mastodon is a free, open-source social network server based on ActivityPub. In Mastodon before 4.4.6, 4.3.14, and 4.2.27, when an administrator resets a user account's password via the command-line interface using `bin/tootctl accounts modify --reset-password`, active sessions and access tokens for that account are not revoked. This allows an attacker with access to a previously compromised session or token to continue using the account after the password has been reset. This issue has been patched in versions 4.2.27, 4.3.14, and 4.4.6. No known workarounds exist.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS