CVE-2025-66482
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
Misskey to otwartoźródłowa, sfederowana platforma społecznościowa. Atakujący, którzy korzystają z niezaufanego odwrotnego proxy lub nie używają odwrotnego proxy wcale, mogą ominąć ograniczenia szybkości IP, dodając sfałszowany nagłówek X-Forwarded-For. Od wersji 2025.9.1 dodano opcję (trustProxy) w pliku konfiguracyjnym, aby temu zapobiec, ale przed wersją 2025.12.0-alpha.2 ma ona domyślnie niebezpieczną wartość, co czyni podatność nadal aktywną, jeśli konfiguracja nie jest ustawiona poprawnie. Poprawka w v2025.12.0-alpha.2 zmienia domyślną wartość trustProxy na false.
Ocena ryzyka
Ryzyko polega na możliwości ominięcia limitów szybkości IP, co może umożliwić ataki brute-force lub spam.
Rekomendacja
Zaleca się zaktualizowanie Misskey do wersji v2025.12.0-alpha.2 lub nowszej. Jeśli nie można zaktualizować, należy ręcznie ustawić trustProxy: false w pliku konfiguracyjnym.
Inne podatności w Misskey
Zobacz wszystkie- CVE-2026-46713Krytyczne
Misskey, otwartoźródłowa zdecentralizowana platforma społecznościowa, zawiera podatność w procesie walidacji i kompakcji sygnatur JSON-LD. Umożliwia ona akceptację sfałszowanych aktywności jako prawidłowych.
- CVE-2026-104817Wysokie
Misskey, platforma mediów społecznościowych, ma podatność w niezabezpieczonym API fetch-rss, które nie ma ograniczeń szybkości i rozmiaru odpowiedzi oraz wykonuje synchroniczne parsowanie XML. Atakujący może wywołać nieograniczone żądania HTTP i parsowanie, wyczerpując zasoby instancji, wzmacniając ataki na serwery zewnętrzne lub skanując usługi w sieci, nawet gdy federacja jest wyłączona. Problem naprawiono w wersji 2026.7.0.
- CVE-2026-104816Wysokie
Misskey ma podatność w komponentach RSS, które wyświetlają linki z skonfigurowanych kanałów bez weryfikacji schematu URL. Brak weryfikacji pozwala atakującemu kontrolującemu treść kanału dostarczyć link o niebezpiecznym schemacie, co powoduje wykonanie skryptu po kliknięciu przez użytkownika w widżecie RSS. Problem naprawiono w wersji 2026.7.0.
- CVE-2026-103937Wysokie
Misskey ma podatność, w której proces czyszczenia może nie zostać wykonany podczas przesyłania plików. Powtarzające się przesyłanie może wyczerpać pamięć masową lub deskryptory plików i spowodować odmowę usługi, niezależnie od tego, czy federacja jest włączona. Problem naprawiono w wersji 2026.7.0.
- CVE-2026-48115Średnie
Misskey w wersjach od 2024.5.0 do 2026.5.4 (przed łatką) zawiera podatność w API ogłoszeń serwera, gdzie niewystarczające sprawdzanie uprawnień pozwala atakującym na dostęp do ograniczonych danych, których normalnie nie powinni widzieć. Podatność występuje niezależnie od włączenia federacji.
- CVE-2026-47746Wysokie
Misskey, otwartoźródłowa, sfederowana platforma społecznościowa, w wersjach od 12.37.0 do 2026.5.4, jest podatna na ataki timingowe podczas walidacji podpisów JSON-LD i procesu kompaktyzacji. Brak współdzielenia kontekstu parsowania JSON-LD między weryfikacją podpisu a dalszym przetwarzaniem prowadzi do błędu TOCTOU, umożliwiając atakującemu akceptację fałszywych działań jako prawidłowych. Problem naprawiono w wersji 2026.5.4.
- CVE-2026-46714Średnie
Misskey w wersjach od 8.63.0 do 2026.5.4 (przed łatką) zawiera podatność, która może spowodować spowolnienie lub awarię klienta webowego po zastosowaniu nieprawidłowo sformatowanego motywu.
- CVE-2026-46712Niskie
Misskey w wersjach od 2025.3.2 do 2026.5.4 (przed 2026.5.4) zawiera podatność polegającą na braku odpowiednich kontroli uprawnień, co umożliwia dostęp do niektórych danych z funkcji Direct Messages (dawniej Chat) niezależnie od uprawnień konta. Notatki z widocznością 'specified' nie są dotknięte. Problem został naprawiony w wersji 2026.5.4.
- CVE-2026-57575Średnie
Misskey przed wersją 2026.6.0 zawiera podatność na fałszowanie żądań po stronie serwera (SSRF) w funkcji podglądu URL. Brak ograniczeń sieciowych przed nawiązaniem połączeń wychodzących umożliwia zdalnemu atakującemu wysyłanie żądań HTTP do usług lokalnych, prywatnych lub link-local.
- CVE-2026-57574Wysokie
Misskey przed wersją 2026.6.0 zawiera podatność w uwierzytelnianiu TOTP, gdzie niewystarczająca walidacja użytych tokenów pozwala na ponowne wykorzystanie jednorazowego kodu w jego oknie czasowym. Atakujący, który uzyska zarówno dane logowania, jak i kod TOTP, może go wielokrotnie użyć do nieautoryzowanych działań, co może prowadzić do przejęcia konta.
Oryginalny opis (angielski, źródło NVD)
Misskey is an open source, federated social media platform. Attackers who use an untrusted reverse proxy or not using a reverse proxy at all can bypass IP rate limiting by adding a forged X-Forwarded-For header. Starting with version 2025.9.1, an option (`trustProxy`) has been added in config file to prevent this from happening. However, it is initialized with an insecure default value before version 2025.12.0-alpha.2, making it still vulnerable if the configuration is not set correctly. This is patched in v2025.12.0-alpha.2 by flipping default value of `trustProxy` to `false`. Users of a trusted reverse proxy who are unsure if they manually overode this value should check their config for optimal behavior. Users are running Misskey with a trusted reverse proxy should not be affected by this vulnerability. From v2025.9.1 to v2025.11.1, workaround is available. Set `trustProxy: false` in config file.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS