CVE-2026-103937

Misskey, otwartoźródłowa zdecentralizowana platforma społecznościowa, zawiera podatność w procesie walidacji i kompakcji sygnatur JSON-LD. Umożliwia ona akceptację sfałszowanych aktywności jako prawidłowych.

Misskey, platforma mediów społecznościowych, ma podatność w niezabezpieczonym API fetch-rss, które nie ma ograniczeń szybkości i rozmiaru odpowiedzi oraz wykonuje synchroniczne parsowanie XML. Atakujący może wywołać nieograniczone żądania HTTP i parsowanie, wyczerpując zasoby instancji, wzmacniając ataki na serwery zewnętrzne lub skanując usługi w sieci, nawet gdy federacja jest wyłączona. Problem naprawiono w wersji 2026.7.0.

Misskey ma podatność w komponentach RSS, które wyświetlają linki z skonfigurowanych kanałów bez weryfikacji schematu URL. Brak weryfikacji pozwala atakującemu kontrolującemu treść kanału dostarczyć link o niebezpiecznym schemacie, co powoduje wykonanie skryptu po kliknięciu przez użytkownika w widżecie RSS. Problem naprawiono w wersji 2026.7.0.

Misskey w wersjach od 2024.5.0 do 2026.5.4 (przed łatką) zawiera podatność w API ogłoszeń serwera, gdzie niewystarczające sprawdzanie uprawnień pozwala atakującym na dostęp do ograniczonych danych, których normalnie nie powinni widzieć. Podatność występuje niezależnie od włączenia federacji.

Misskey, otwartoźródłowa, sfederowana platforma społecznościowa, w wersjach od 12.37.0 do 2026.5.4, jest podatna na ataki timingowe podczas walidacji podpisów JSON-LD i procesu kompaktyzacji. Brak współdzielenia kontekstu parsowania JSON-LD między weryfikacją podpisu a dalszym przetwarzaniem prowadzi do błędu TOCTOU, umożliwiając atakującemu akceptację fałszywych działań jako prawidłowych. Problem naprawiono w wersji 2026.5.4.

Misskey w wersjach od 8.63.0 do 2026.5.4 (przed łatką) zawiera podatność, która może spowodować spowolnienie lub awarię klienta webowego po zastosowaniu nieprawidłowo sformatowanego motywu.

Misskey w wersjach od 2025.3.2 do 2026.5.4 (przed 2026.5.4) zawiera podatność polegającą na braku odpowiednich kontroli uprawnień, co umożliwia dostęp do niektórych danych z funkcji Direct Messages (dawniej Chat) niezależnie od uprawnień konta. Notatki z widocznością 'specified' nie są dotknięte. Problem został naprawiony w wersji 2026.5.4.

Misskey przed wersją 2026.6.0 zawiera podatność na fałszowanie żądań po stronie serwera (SSRF) w funkcji podglądu URL. Brak ograniczeń sieciowych przed nawiązaniem połączeń wychodzących umożliwia zdalnemu atakującemu wysyłanie żądań HTTP do usług lokalnych, prywatnych lub link-local.

Misskey przed wersją 2026.6.0 zawiera podatność w uwierzytelnianiu TOTP, gdzie niewystarczająca walidacja użytych tokenów pozwala na ponowne wykorzystanie jednorazowego kodu w jego oknie czasowym. Atakujący, który uzyska zarówno dane logowania, jak i kod TOTP, może go wielokrotnie użyć do nieautoryzowanych działań, co może prowadzić do przejęcia konta.

Misskey to otwartoźródłowa, sfederowana platforma społecznościowa. Atakujący, którzy korzystają z niezaufanego odwrotnego proxy lub nie używają odwrotnego proxy wcale, mogą ominąć ograniczenia szybkości IP, dodając sfałszowany nagłówek X-Forwarded-For. Od wersji 2025.9.1 dodano opcję (trustProxy) w pliku konfiguracyjnym, aby temu zapobiec, ale przed wersją 2025.12.0-alpha.2 ma ona domyślnie niebezpieczną wartość, co czyni podatność nadal aktywną, jeśli konfiguracja nie jest ustawiona poprawnie. Poprawka w v2025.12.0-alpha.2 zmienia domyślną wartość trustProxy na false.