CVE-2026-47389
WysokieCVSS 8.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Mastodon przed wersjami 4.5.10, 4.4.17 i 4.3.23 ma lukę, która pozwala na nieprawidłowe rozpoznawanie adresów IPv4-mapped IPv6, co może prowadzić do otwarcia połączeń TCP do prywatnych adresów IPv4. Atakujący mogą wykorzystać tę lukę, publikując odpowiednie rekordy DNS.
Ocena ryzyka
Organizacje mogą być narażone na nieautoryzowany dostęp do lokalnych zasobów lub danych, co może prowadzić do poważnych incydentów bezpieczeństwa. W szczególności, atakujący mogą uzyskać dostęp do adresów takich jak 127.0.0.1, co stwarza ryzyko wycieku danych.
Rekomendacja
Zaleca się aktualizację Mastodona do wersji 4.5.10, 4.4.17 lub 4.3.23, aby usunąć tę lukę. Dodatkowo, warto monitorować i zabezpieczać konfigurację DNS, aby zapobiec publikacji nieautoryzowanych rekordów.
Inne podatności w Mastodon
Zobacz wszystkie- CVE-2026-59825Wysokie
Podatność w Mastodonie przed wersjami 4.4.19 i 4.5.12. Plik ldap_authenticable.rb modyfikuje globalne parametry OpenSSL, gdy LDAP używa LDAP_TLS_NO_VERIFY=true, wyłączając weryfikację certyfikatów SSL/TLS dla procesów puma.
- CVE-2026-22245Wysokie
Mastodon, serwer sieci społecznościowej oparty na ActivityPub, ma lukę w mechanizmie ochronnym blokującym żądania do lokalnych adresów IP. Brakuje niektórych zakresów adresów IP, które mogą być użyte do dotarcia do lokalnych adresów, co pozwala atakującemu na wykonywanie żądań HTTP do pętli zwrotnej lub hostów w sieci lokalnej, potencjalnie uzyskując dostęp do prywatnych zasobów i usług. Problem został naprawiony w wersjach Mastodon v4.5.4, v4.4.11, v4.3.17 i v4.2.29.
- CVE-2023-36460Krytyczne
Mastodon, serwer społecznościowy oparty na ActivityPub, ma podatność, która pozwala atakującym na tworzenie i nadpisywanie dowolnych plików w systemie poprzez starannie przygotowane pliki multimedialne. Dotyczy to wersji od 3.5.0 do 3.5.8 oraz 4.0.0 do 4.1.2.
- CVE-2023-36459Krytyczne
Mastodon, serwer społecznościowy oparty na ActivityPub, ma lukę, która pozwala atakującym na obejście sanitizacji HTML przy użyciu spreparowanych danych oEmbed. To umożliwia wstrzykiwanie dowolnego HTML do kart podglądu oEmbed, co stwarza wektor ataku XSS.
- CVE-2026-72916Średnie
W Mastodon przed wersjami 4.4.21, 4.5.14, 4.6.4 i 4.7.0-beta.1 funkcja PrivateAddressCheck.private_address? nie rozpoznaje adresów IPv4-compatible IPv6, co pozwala atakującemu ominąć ochronę ALLOWED_PRIVATE_ADDRESSES i wysyłać żądania HTTP do interfejsów loopback, potencjalnie uzyskując dostęp do prywatnych zasobów. Wymaga to systemu obsługującego przestarzały mechanizm IPv4-compatible IPv6.
- CVE-2026-72915Wysokie
Mastodon to darmowy serwer sieci społecznościowej oparty na ActivityPub. Od wersji 4.6.0-beta.1 do 4.6.4 i 4.7.0-beta.1 każdy zalogowany użytkownik lokalny mógł użyć akcji show w kontrolerze app/controllers/admin/collections_controller.rb, aby uzyskać dostęp do danych osobowych innego użytkownika lokalnego w kolekcji, ponieważ kontroler używał ogólnej polityki kolekcji zamiast polityki kolekcji administracyjnej. Ujawnione dane obejmowały aktualny adres e-mail i ostatnio używany adres IP innego użytkownika. Problem naprawiono w wersjach 4.6.4 i 4.7.0-beta.1.
- CVE-2026-72914Wysokie
Mastodon to darmowy serwer sieci społecznościowej oparty na ActivityPub. Przed wersjami 4.4.21, 4.5.14, 4.6.4 i 4.7.0-beta.1 administracyjne punkty końcowe statystyk obsługiwane przez Api::V1::Admin::MeasuresController i Api::V1::Admin::RetentionController sprawdzały autoryzację dopiero po rozpoczęciu kosztownych obliczeń. Anonimowi wywołujący mogli przesyłać parametry keys, start_at i end_at, które powodowały długotrwałe zapytania SQL w Admin::Metrics::Measure, Admin::Metrics::Retention i Admin::Metrics::Dimension::BaseDimension, umożliwiając wielokrotne żądania wyczerpujące zasoby serwera. Problem naprawiono w wersjach 4.4.21, 4.5.14, 4.6.4 i 4.7.0-beta.1.
- CVE-2026-50129Wysokie
Mastodon przed wersjami 4.5.11, 4.4.18 i 4.3.24 zawiera podatność typu DoS spowodowaną brakiem obsługi wyjątków w sanitarze matematycznym. Złośliwe węzły <math> mogą prowadzić do awarii całego serwera lub usług użytkowników, w zależności od interakcji z tymi węzłami.
- CVE-2026-50128Średnie
Mastodon, serwer społecznościowy oparty na ActivityPub, ma lukę w wersjach od 4.3.0 do 4.5.11 oraz 4.4.18, która pozwala na modyfikację wartości attributionDomains w podpisanych aktywnościach. Błąd w definicji tego terminu uniemożliwia skuteczne weryfikowanie podpisów Linked Data.
- CVE-2026-48028Średnie
Mastodon przed wersjami 4.5.10, 4.4.17 i 4.3.23 nieprawidłowo normalizował przychodzące aktywności podpisane za pomocą Linked-Data Signatures, co umożliwiało atakującym usuwanie wpisów JSON z ważnych podpisanych aktywności od zewnętrznych podmiotów.
Oryginalny opis (angielski, źródło NVD)
Mastodon is a free, open-source social network server based on ActivityPub. Prior to 4.5.10, 4.4.17, and 4.3.23, when using Ruby versions older than 3.4, PrivateAddressCheck.private_address? returns false for IPv4-mapped IPv6 addresses (::ffff:a.b.c.d) corresponding to some private IPv4 addresses, depending on Ruby version, this can include loopback, RFC1918 private networks, and link-local space. An attacker who controls DNS for any domain can publish an AAAA record with such a mapped address; any outbound HTTP fetch Mastodon performs against that hostname then opens a real TCP connection to the underlying IPv4 address, including 127.0.0.1 and cloud-metadata endpoints such as 169.254.169.254. This vulnerability is fixed in 4.5.10, 4.4.17, and 4.3.23.