CVE-2026-46713
KrytyczneCVSS 9.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Misskey, otwartoźródłowa zdecentralizowana platforma społecznościowa, zawiera podatność w procesie walidacji i kompakcji sygnatur JSON-LD. Umożliwia ona akceptację sfałszowanych aktywności jako prawidłowych.
Ocena ryzyka
Atakujący może podszywać się pod innych użytkowników i rozprzestrzeniać fałszywe treści, co narusza zaufanie do platformy.
Rekomendacja
Zaleca się natychmiastową aktualizację Misskey do wersji 2026.5.4 lub nowszej.
Inne podatności w Misskey
Zobacz wszystkie- CVE-2026-48115Średnie
Misskey w wersjach od 2024.5.0 do 2026.5.4 (przed łatką) zawiera podatność w API ogłoszeń serwera, gdzie niewystarczające sprawdzanie uprawnień pozwala atakującym na dostęp do ograniczonych danych, których normalnie nie powinni widzieć. Podatność występuje niezależnie od włączenia federacji.
- CVE-2026-47746Wysokie
Misskey, otwartoźródłowa, sfederowana platforma społecznościowa, w wersjach od 12.37.0 do 2026.5.4, jest podatna na ataki timingowe podczas walidacji podpisów JSON-LD i procesu kompaktyzacji. Brak współdzielenia kontekstu parsowania JSON-LD między weryfikacją podpisu a dalszym przetwarzaniem prowadzi do błędu TOCTOU, umożliwiając atakującemu akceptację fałszywych działań jako prawidłowych. Problem naprawiono w wersji 2026.5.4.
- CVE-2026-46714Średnie
Misskey w wersjach od 8.63.0 do 2026.5.4 (przed łatką) zawiera podatność, która może spowodować spowolnienie lub awarię klienta webowego po zastosowaniu nieprawidłowo sformatowanego motywu.
- CVE-2026-46712Niskie
Misskey w wersjach od 2025.3.2 do 2026.5.4 (przed 2026.5.4) zawiera podatność polegającą na braku odpowiednich kontroli uprawnień, co umożliwia dostęp do niektórych danych z funkcji Direct Messages (dawniej Chat) niezależnie od uprawnień konta. Notatki z widocznością 'specified' nie są dotknięte. Problem został naprawiony w wersji 2026.5.4.
- CVE-2026-57575Średnie
Misskey przed wersją 2026.6.0 zawiera podatność na fałszowanie żądań po stronie serwera (SSRF) w funkcji podglądu URL. Brak ograniczeń sieciowych przed nawiązaniem połączeń wychodzących umożliwia zdalnemu atakującemu wysyłanie żądań HTTP do usług lokalnych, prywatnych lub link-local.
- CVE-2026-57574Wysokie
Misskey przed wersją 2026.6.0 zawiera podatność w uwierzytelnianiu TOTP, gdzie niewystarczająca walidacja użytych tokenów pozwala na ponowne wykorzystanie jednorazowego kodu w jego oknie czasowym. Atakujący, który uzyska zarówno dane logowania, jak i kod TOTP, może go wielokrotnie użyć do nieautoryzowanych działań, co może prowadzić do przejęcia konta.
Oryginalny opis (angielski, źródło NVD)
Misskey is an open source, federated social media platform. Versions 12.37.0 and later, but prior to 2026.5.4, contain a vulnerability in the JSON-LD signature validation and compaction process that allows spoofed activities to be accepted as valid. This issue has been fixed in version 2026.5.4.