CVE-2026-50129
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
Mastodon przed wersjami 4.5.11, 4.4.18 i 4.3.24 zawiera podatność typu DoS spowodowaną brakiem obsługi wyjątków w sanitarze matematycznym. Złośliwe węzły <math> mogą prowadzić do awarii całego serwera lub usług użytkowników, w zależności od interakcji z tymi węzłami.
Ocena ryzyka
Organizacja może doświadczyć przestojów w działaniu serwera lub usług użytkowników, co może prowadzić do utraty dostępności i zaufania do platformy.
Rekomendacja
Zaleca się aktualizację do wersji 4.5.11, 4.4.18 lub 4.3.24, aby usunąć tę podatność.
Inne podatności w Mastodon
Zobacz wszystkie- CVE-2026-59825Wysokie
Podatność w Mastodonie przed wersjami 4.4.19 i 4.5.12. Plik ldap_authenticable.rb modyfikuje globalne parametry OpenSSL, gdy LDAP używa LDAP_TLS_NO_VERIFY=true, wyłączając weryfikację certyfikatów SSL/TLS dla procesów puma.
- CVE-2026-22245Wysokie
Mastodon, serwer sieci społecznościowej oparty na ActivityPub, ma lukę w mechanizmie ochronnym blokującym żądania do lokalnych adresów IP. Brakuje niektórych zakresów adresów IP, które mogą być użyte do dotarcia do lokalnych adresów, co pozwala atakującemu na wykonywanie żądań HTTP do pętli zwrotnej lub hostów w sieci lokalnej, potencjalnie uzyskując dostęp do prywatnych zasobów i usług. Problem został naprawiony w wersjach Mastodon v4.5.4, v4.4.11, v4.3.17 i v4.2.29.
- CVE-2023-36460Krytyczne
Mastodon, serwer społecznościowy oparty na ActivityPub, ma podatność, która pozwala atakującym na tworzenie i nadpisywanie dowolnych plików w systemie poprzez starannie przygotowane pliki multimedialne. Dotyczy to wersji od 3.5.0 do 3.5.8 oraz 4.0.0 do 4.1.2.
- CVE-2023-36459Krytyczne
Mastodon, serwer społecznościowy oparty na ActivityPub, ma lukę, która pozwala atakującym na obejście sanitizacji HTML przy użyciu spreparowanych danych oEmbed. To umożliwia wstrzykiwanie dowolnego HTML do kart podglądu oEmbed, co stwarza wektor ataku XSS.
- CVE-2026-72916Średnie
W Mastodon przed wersjami 4.4.21, 4.5.14, 4.6.4 i 4.7.0-beta.1 funkcja PrivateAddressCheck.private_address? nie rozpoznaje adresów IPv4-compatible IPv6, co pozwala atakującemu ominąć ochronę ALLOWED_PRIVATE_ADDRESSES i wysyłać żądania HTTP do interfejsów loopback, potencjalnie uzyskując dostęp do prywatnych zasobów. Wymaga to systemu obsługującego przestarzały mechanizm IPv4-compatible IPv6.
- CVE-2026-72915Wysokie
Mastodon to darmowy serwer sieci społecznościowej oparty na ActivityPub. Od wersji 4.6.0-beta.1 do 4.6.4 i 4.7.0-beta.1 każdy zalogowany użytkownik lokalny mógł użyć akcji show w kontrolerze app/controllers/admin/collections_controller.rb, aby uzyskać dostęp do danych osobowych innego użytkownika lokalnego w kolekcji, ponieważ kontroler używał ogólnej polityki kolekcji zamiast polityki kolekcji administracyjnej. Ujawnione dane obejmowały aktualny adres e-mail i ostatnio używany adres IP innego użytkownika. Problem naprawiono w wersjach 4.6.4 i 4.7.0-beta.1.
- CVE-2026-72914Wysokie
Mastodon to darmowy serwer sieci społecznościowej oparty na ActivityPub. Przed wersjami 4.4.21, 4.5.14, 4.6.4 i 4.7.0-beta.1 administracyjne punkty końcowe statystyk obsługiwane przez Api::V1::Admin::MeasuresController i Api::V1::Admin::RetentionController sprawdzały autoryzację dopiero po rozpoczęciu kosztownych obliczeń. Anonimowi wywołujący mogli przesyłać parametry keys, start_at i end_at, które powodowały długotrwałe zapytania SQL w Admin::Metrics::Measure, Admin::Metrics::Retention i Admin::Metrics::Dimension::BaseDimension, umożliwiając wielokrotne żądania wyczerpujące zasoby serwera. Problem naprawiono w wersjach 4.4.21, 4.5.14, 4.6.4 i 4.7.0-beta.1.
- CVE-2026-50128Średnie
Mastodon, serwer społecznościowy oparty na ActivityPub, ma lukę w wersjach od 4.3.0 do 4.5.11 oraz 4.4.18, która pozwala na modyfikację wartości attributionDomains w podpisanych aktywnościach. Błąd w definicji tego terminu uniemożliwia skuteczne weryfikowanie podpisów Linked Data.
- CVE-2026-48028Średnie
Mastodon przed wersjami 4.5.10, 4.4.17 i 4.3.23 nieprawidłowo normalizował przychodzące aktywności podpisane za pomocą Linked-Data Signatures, co umożliwiało atakującym usuwanie wpisów JSON z ważnych podpisanych aktywności od zewnętrznych podmiotów.
- CVE-2026-47389Wysokie
Mastodon przed wersjami 4.5.10, 4.4.17 i 4.3.23 ma lukę, która pozwala na nieprawidłowe rozpoznawanie adresów IPv4-mapped IPv6, co może prowadzić do otwarcia połączeń TCP do prywatnych adresów IPv4. Atakujący mogą wykorzystać tę lukę, publikując odpowiednie rekordy DNS.
Oryginalny opis (angielski, źródło NVD)
Mastodon is a free, open-source social network server based on ActivityPub. Prior to 4.5.11, 4.4.18, and 4.3.24, a DoS can be triggered by (Uncaught Exception vulerability), due to missing exception handling in the math sanitizer. Malformed <math> nodes can result in a DoS of a whole server or targeted users services, depending on the type of action that includes the malformed nodes and the services interacting with it. This vulnerability is fixed in 4.5.11, 4.4.18, and 4.3.24.