CVE-2026-72914
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 37 - wyżej niż 37% wszystkich znanych CVE
Streszczenie
Mastodon to darmowy serwer sieci społecznościowej oparty na ActivityPub. Przed wersjami 4.4.21, 4.5.14, 4.6.4 i 4.7.0-beta.1 administracyjne punkty końcowe statystyk obsługiwane przez Api::V1::Admin::MeasuresController i Api::V1::Admin::RetentionController sprawdzały autoryzację dopiero po rozpoczęciu kosztownych obliczeń. Anonimowi wywołujący mogli przesyłać parametry keys, start_at i end_at, które powodowały długotrwałe zapytania SQL w Admin::Metrics::Measure, Admin::Metrics::Retention i Admin::Metrics::Dimension::BaseDimension, umożliwiając wielokrotne żądania wyczerpujące zasoby serwera. Problem naprawiono w wersjach 4.4.21, 4.5.14, 4.6.4 i 4.7.0-beta.1.
Ocena ryzyka
Ryzyko wyczerpania zasobów serwera (DoS) przez anonimowych atakujących, co może prowadzić do niedostępności usługi.
Rekomendacja
Zaktualizuj Mastodona do jednej z naprawionych wersji (4.4.21, 4.5.14, 4.6.4 lub 4.7.0-beta.1), aby zapewnić wcześniejszą kontrolę autoryzacji.
Oryginalny opis (angielski, źródło NVD)
Mastodon is a free, open-source social network server based on ActivityPub. Prior to 4.4.21, 4.5.14, 4.6.4, and 4.7.0-beta.1, the administrative statistics endpoints handled by Api::V1::Admin::MeasuresController and Api::V1::Admin::RetentionController checked authorization only after beginning expensive calculations. Anonymous callers could submit keys, start_at, and end_at parameters that caused long-running SQL queries in Admin::Metrics::Measure, Admin::Metrics::Retention, and Admin::Metrics::Dimension::BaseDimension, allowing repeated requests to exhaust server resources. This issue is fixed in versions 4.4.21, 4.5.14, 4.6.4, and 4.7.0-beta.1.