CVE-2026-57574
WysokieCVSS 7.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
Misskey przed wersją 2026.6.0 zawiera podatność w uwierzytelnianiu TOTP, gdzie niewystarczająca walidacja użytych tokenów pozwala na ponowne wykorzystanie jednorazowego kodu w jego oknie czasowym. Atakujący, który uzyska zarówno dane logowania, jak i kod TOTP, może go wielokrotnie użyć do nieautoryzowanych działań, co może prowadzić do przejęcia konta.
Ocena ryzyka
Ryzyko polega na możliwości przejęcia konta użytkownika przez atakującego, który zdobędzie dane logowania i kod TOTP, co może skutkować kradzieżą danych, naruszeniem prywatności lub eskalacją uprawnień w federowanej sieci społecznościowej.
Rekomendacja
Należy niezwłocznie zaktualizować Misskey do wersji 2026.6.0 lub nowszej, która zawiera poprawkę uniemożliwiającą ponowne użycie kodów TOTP.
Inne podatności w Misskey
Zobacz wszystkie- CVE-2026-46713Krytyczne
Misskey, otwartoźródłowa zdecentralizowana platforma społecznościowa, zawiera podatność w procesie walidacji i kompakcji sygnatur JSON-LD. Umożliwia ona akceptację sfałszowanych aktywności jako prawidłowych.
- CVE-2026-48115Średnie
Misskey w wersjach od 2024.5.0 do 2026.5.4 (przed łatką) zawiera podatność w API ogłoszeń serwera, gdzie niewystarczające sprawdzanie uprawnień pozwala atakującym na dostęp do ograniczonych danych, których normalnie nie powinni widzieć. Podatność występuje niezależnie od włączenia federacji.
- CVE-2026-47746Wysokie
Misskey, otwartoźródłowa, sfederowana platforma społecznościowa, w wersjach od 12.37.0 do 2026.5.4, jest podatna na ataki timingowe podczas walidacji podpisów JSON-LD i procesu kompaktyzacji. Brak współdzielenia kontekstu parsowania JSON-LD między weryfikacją podpisu a dalszym przetwarzaniem prowadzi do błędu TOCTOU, umożliwiając atakującemu akceptację fałszywych działań jako prawidłowych. Problem naprawiono w wersji 2026.5.4.
- CVE-2026-46714Średnie
Misskey w wersjach od 8.63.0 do 2026.5.4 (przed łatką) zawiera podatność, która może spowodować spowolnienie lub awarię klienta webowego po zastosowaniu nieprawidłowo sformatowanego motywu.
- CVE-2026-46712Niskie
Misskey w wersjach od 2025.3.2 do 2026.5.4 (przed 2026.5.4) zawiera podatność polegającą na braku odpowiednich kontroli uprawnień, co umożliwia dostęp do niektórych danych z funkcji Direct Messages (dawniej Chat) niezależnie od uprawnień konta. Notatki z widocznością 'specified' nie są dotknięte. Problem został naprawiony w wersji 2026.5.4.
- CVE-2026-57575Średnie
Misskey przed wersją 2026.6.0 zawiera podatność na fałszowanie żądań po stronie serwera (SSRF) w funkcji podglądu URL. Brak ograniczeń sieciowych przed nawiązaniem połączeń wychodzących umożliwia zdalnemu atakującemu wysyłanie żądań HTTP do usług lokalnych, prywatnych lub link-local.
Oryginalny opis (angielski, źródło NVD)
Misskey is an open source, federated social media platform. Prior to 2026.6.0, Misskey contains a vulnerability in Time-based One-Time Password (TOTP) authentication in UserAuthService where insufficient validation of used tokens allows the reuse of a single-use code within its valid time step. If both credentials and a TOTP code are obtained concurrently, an attacker may reuse the code to perform unauthorized actions, potentially leading to account takeover. This issue is fixed in version 2026.6.0.