CVE-2026-47746
WysokieCVSS 8.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Misskey, otwartoźródłowa, sfederowana platforma społecznościowa, w wersjach od 12.37.0 do 2026.5.4, jest podatna na ataki timingowe podczas walidacji podpisów JSON-LD i procesu kompaktyzacji. Brak współdzielenia kontekstu parsowania JSON-LD między weryfikacją podpisu a dalszym przetwarzaniem prowadzi do błędu TOCTOU, umożliwiając atakującemu akceptację fałszywych działań jako prawidłowych. Problem naprawiono w wersji 2026.5.4.
Ocena ryzyka
Atakujący może fałszować działania w sieci społecznościowej, co prowadzi do utraty integralności danych i zaufania użytkowników.
Rekomendacja
Zaleca się aktualizację Misskey do wersji 2026.5.4 lub nowszej.
Inne podatności w Misskey
Zobacz wszystkie- CVE-2026-46713Krytyczne
Misskey, otwartoźródłowa zdecentralizowana platforma społecznościowa, zawiera podatność w procesie walidacji i kompakcji sygnatur JSON-LD. Umożliwia ona akceptację sfałszowanych aktywności jako prawidłowych.
- CVE-2026-48115Średnie
Misskey w wersjach od 2024.5.0 do 2026.5.4 (przed łatką) zawiera podatność w API ogłoszeń serwera, gdzie niewystarczające sprawdzanie uprawnień pozwala atakującym na dostęp do ograniczonych danych, których normalnie nie powinni widzieć. Podatność występuje niezależnie od włączenia federacji.
- CVE-2026-46714Średnie
Misskey w wersjach od 8.63.0 do 2026.5.4 (przed łatką) zawiera podatność, która może spowodować spowolnienie lub awarię klienta webowego po zastosowaniu nieprawidłowo sformatowanego motywu.
- CVE-2026-46712Niskie
Misskey w wersjach od 2025.3.2 do 2026.5.4 (przed 2026.5.4) zawiera podatność polegającą na braku odpowiednich kontroli uprawnień, co umożliwia dostęp do niektórych danych z funkcji Direct Messages (dawniej Chat) niezależnie od uprawnień konta. Notatki z widocznością 'specified' nie są dotknięte. Problem został naprawiony w wersji 2026.5.4.
- CVE-2026-57575Średnie
Misskey przed wersją 2026.6.0 zawiera podatność na fałszowanie żądań po stronie serwera (SSRF) w funkcji podglądu URL. Brak ograniczeń sieciowych przed nawiązaniem połączeń wychodzących umożliwia zdalnemu atakującemu wysyłanie żądań HTTP do usług lokalnych, prywatnych lub link-local.
- CVE-2026-57574Wysokie
Misskey przed wersją 2026.6.0 zawiera podatność w uwierzytelnianiu TOTP, gdzie niewystarczająca walidacja użytych tokenów pozwala na ponowne wykorzystanie jednorazowego kodu w jego oknie czasowym. Atakujący, który uzyska zarówno dane logowania, jak i kod TOTP, może go wielokrotnie użyć do nieautoryzowanych działań, co może prowadzić do przejęcia konta.
Oryginalny opis (angielski, źródło NVD)
Misskey is an open source, federated social media platform. Versions 12.37.0 and later, but prior to 2026.5.4, are vulnerable to timing attacks during JSON-LD signature validation and the compaction process. Because the JSON-LD parsing context is not shared between signature verification and subsequent processing, the application may trust information that should not be trusted, resulting in a time-of-check to time-of-use (TOCTOU) flaw. This allows an attacker to have fraudulent activities accepted as valid, leading to a loss of integrity. This issue has been fixed in version 2026.5.4.