CVE-2026-46348
WysokieCVSS 8.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 — wyżej niż 26% wszystkich znanych CVE
Streszczenie
Mastodon, serwer społecznościowy oparty na ActivityPub, przed wersjami 4.5.10, 4.4.17 i 4.3.23 miał lukę w liście zablokowanych zakresów adresów IP, co umożliwiało atakującym wykonywanie żądań HTTP do interfejsów loopback. Może to prowadzić do nieautoryzowanego dostępu do prywatnych zasobów i usług.
Ocena ryzyka
Organizacje korzystające z Mastodona mogą być narażone na nieautoryzowany dostęp do wewnętrznych zasobów, co może prowadzić do wycieku danych lub innych poważnych incydentów bezpieczeństwa.
Rekomendacja
Zaleca się aktualizację Mastodona do wersji 4.5.10, 4.4.17 lub 4.3.23, aby usunąć tę lukę i zabezpieczyć system przed potencjalnymi atakami.
Oryginalny opis (angielski, źródło NVD)
Mastodon is a free, open-source social network server based on ActivityPub. Prior to 4.5.10, 4.4.17, and 4.3.23, the list of disallowed IP address ranges was lacking an IP address range that can be used to reach local IP addresses. An attacker can use an IP address in the affected range to make Mastodon perform HTTP requests against loopback interfaces, potentially allowing access to otherwise private resources and services. This vulnerability is fixed in 4.5.10, 4.4.17, and 4.3.23.