CVE-2026-47777
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
W Mastodon, w wersjach z brakującym warunkiem weryfikacji zgody zdalnych kont na umieszczanie ich w zdalnej Kolekcji, atakujący może obejść tę weryfikację i sfałszować zgodę. Może to prowadzić do sytuacji, w której konto wydaje się być dozwolone w Kolekcji, mimo że w rzeczywistości nie jest.
Ocena ryzyka
Organizacja może być narażona na fałszywe przedstawienie kont w Kolekcjach, co może prowadzić do utraty zaufania użytkowników oraz naruszenia prywatności.
Rekomendacja
Zaleca się aktualizację do wersji 4.6.0-beta.1, aby usunąć tę podatność oraz wyłączenie eksperymentalnej funkcji 'Collections', jeśli nie jest ona niezbędna.
Inne podatności w Mastodon
Zobacz wszystkie- CVE-2026-59825Wysokie
Podatność w Mastodonie przed wersjami 4.4.19 i 4.5.12. Plik ldap_authenticable.rb modyfikuje globalne parametry OpenSSL, gdy LDAP używa LDAP_TLS_NO_VERIFY=true, wyłączając weryfikację certyfikatów SSL/TLS dla procesów puma.
- CVE-2026-22245Wysokie
Mastodon, serwer sieci społecznościowej oparty na ActivityPub, ma lukę w mechanizmie ochronnym blokującym żądania do lokalnych adresów IP. Brakuje niektórych zakresów adresów IP, które mogą być użyte do dotarcia do lokalnych adresów, co pozwala atakującemu na wykonywanie żądań HTTP do pętli zwrotnej lub hostów w sieci lokalnej, potencjalnie uzyskując dostęp do prywatnych zasobów i usług. Problem został naprawiony w wersjach Mastodon v4.5.4, v4.4.11, v4.3.17 i v4.2.29.
- CVE-2023-36460Krytyczne
Mastodon, serwer społecznościowy oparty na ActivityPub, ma podatność, która pozwala atakującym na tworzenie i nadpisywanie dowolnych plików w systemie poprzez starannie przygotowane pliki multimedialne. Dotyczy to wersji od 3.5.0 do 3.5.8 oraz 4.0.0 do 4.1.2.
- CVE-2023-36459Krytyczne
Mastodon, serwer społecznościowy oparty na ActivityPub, ma lukę, która pozwala atakującym na obejście sanitizacji HTML przy użyciu spreparowanych danych oEmbed. To umożliwia wstrzykiwanie dowolnego HTML do kart podglądu oEmbed, co stwarza wektor ataku XSS.
- CVE-2026-72916Średnie
W Mastodon przed wersjami 4.4.21, 4.5.14, 4.6.4 i 4.7.0-beta.1 funkcja PrivateAddressCheck.private_address? nie rozpoznaje adresów IPv4-compatible IPv6, co pozwala atakującemu ominąć ochronę ALLOWED_PRIVATE_ADDRESSES i wysyłać żądania HTTP do interfejsów loopback, potencjalnie uzyskując dostęp do prywatnych zasobów. Wymaga to systemu obsługującego przestarzały mechanizm IPv4-compatible IPv6.
- CVE-2026-72915Wysokie
Mastodon to darmowy serwer sieci społecznościowej oparty na ActivityPub. Od wersji 4.6.0-beta.1 do 4.6.4 i 4.7.0-beta.1 każdy zalogowany użytkownik lokalny mógł użyć akcji show w kontrolerze app/controllers/admin/collections_controller.rb, aby uzyskać dostęp do danych osobowych innego użytkownika lokalnego w kolekcji, ponieważ kontroler używał ogólnej polityki kolekcji zamiast polityki kolekcji administracyjnej. Ujawnione dane obejmowały aktualny adres e-mail i ostatnio używany adres IP innego użytkownika. Problem naprawiono w wersjach 4.6.4 i 4.7.0-beta.1.
- CVE-2026-72914Wysokie
Mastodon to darmowy serwer sieci społecznościowej oparty na ActivityPub. Przed wersjami 4.4.21, 4.5.14, 4.6.4 i 4.7.0-beta.1 administracyjne punkty końcowe statystyk obsługiwane przez Api::V1::Admin::MeasuresController i Api::V1::Admin::RetentionController sprawdzały autoryzację dopiero po rozpoczęciu kosztownych obliczeń. Anonimowi wywołujący mogli przesyłać parametry keys, start_at i end_at, które powodowały długotrwałe zapytania SQL w Admin::Metrics::Measure, Admin::Metrics::Retention i Admin::Metrics::Dimension::BaseDimension, umożliwiając wielokrotne żądania wyczerpujące zasoby serwera. Problem naprawiono w wersjach 4.4.21, 4.5.14, 4.6.4 i 4.7.0-beta.1.
- CVE-2026-50129Wysokie
Mastodon przed wersjami 4.5.11, 4.4.18 i 4.3.24 zawiera podatność typu DoS spowodowaną brakiem obsługi wyjątków w sanitarze matematycznym. Złośliwe węzły <math> mogą prowadzić do awarii całego serwera lub usług użytkowników, w zależności od interakcji z tymi węzłami.
- CVE-2026-50128Średnie
Mastodon, serwer społecznościowy oparty na ActivityPub, ma lukę w wersjach od 4.3.0 do 4.5.11 oraz 4.4.18, która pozwala na modyfikację wartości attributionDomains w podpisanych aktywnościach. Błąd w definicji tego terminu uniemożliwia skuteczne weryfikowanie podpisów Linked Data.
- CVE-2026-48028Średnie
Mastodon przed wersjami 4.5.10, 4.4.17 i 4.3.23 nieprawidłowo normalizował przychodzące aktywności podpisane za pomocą Linked-Data Signatures, co umożliwiało atakującym usuwanie wpisów JSON z ważnych podpisanych aktywności od zewnętrznych podmiotów.
Oryginalny opis (angielski, źródło NVD)
Mastodon is a free, open-source social network server based on ActivityPub. In versions there is a missing condition in the check if remote accounts consented to be featured in a remote Collection could lead to attackers bypassing the check and faking consent. An attacker could forge the FeatureAuthorization object that is used to verify consent to be featured in a Collection and thus make it appear as if an account is allowed to be in a Collection when it actually is not. While the FeatureAuthorization must reside on the same domain as the object it is for, a check is missing to make sure said object is actually the same as in the Collection item. This allows an attacker to forge the authorization. Mastodon servers are affected only if running the main branch or nightly builds who have opted into testing the experimental "Collections" feature by setting the environment variable EXPERIMENTAL_FEATURES to a value including collections. This has been patched in version 4.6.0-beta.1.