CVE-2024-25636

Misskey, ActivityPub dəstəyi olan açıq mənbəli, mərkəzləşdirilməmiş sosial media platformasıdır. 2024.2.0 versiyasından əvvəl Misskey uzaq Activity Streams obyektlərini əldə edərkən uzaq serverdən gələn cavabın `Content-Type` başlığının dəyərinin Activity Streams media tipinə uyğun olduğunu yoxlamırdı ki, bu da təhdid aktoruna uzaq serverə hazırlanmış Activity Streams sənədi yükləməyə və uzaq server ixtiyari istifadəçi yükləmələrini qəbul edərsə, Misskey instansiyasının onu əldə etməsinə imkan verirdi. Zəiflik təhdid aktoruna aşağıdakı bütün xassələri ödəyən uzaq serverdə hesabı təqlid etməyə və ələ keçirməyə imkan verir: təhdid aktoruna hesab qeydiyyatdan keçirməyə imkan verir; ixtiyari istifadəçi tərəfindən yüklənmiş sənədləri qəbul edir və onları qanuni Activity Streams aktorları ilə eyni domenə yerləşdirir; və istifadəçi tərəfindən yüklənmiş sənədi `Accept` başlığının dəyəri Activity Streams media tipi olan sorğulara cavab olaraq təqdim edir. 2024.2.0 versiyası bu məsələ üçün düzəliş ehtiva edir.