CVE-2026-22245
Təsvir
Mastodon, ActivityPub əsaslı pulsuz və açıq mənbəli sosial şəbəkə serveridir. Təbiəti etibarilə Mastodon istifadəçilər tərəfindən təqdim edilən domenlərə çox sayda çıxan sorğu göndərir. Lakin Mastodon, "confused deputy" probleminin qarşısını almaq üçün lokal IP ünvanlarına sorğuları (`ALLOWED_PRIVATE_ADDRESSES` bölməsində göstərilmədikdə) qadağan edən müəyyən qoruma mexanizminə malikdir. Qadağan edilmiş IP ünvan aralıqlarının siyahısında lokal IP ünvanlarına çatmaq üçün istifadə oluna bilən bəzi IP ünvan aralıqları çatışmırdı. Hücumçu təsirlənmiş aralıqlardakı IP ünvanından istifadə edərək Mastodon-un loopback və ya lokal şəbəkə hostlarına HTTP sorğuları göndərməsini təmin edə bilər ki, bu da potensial olaraq digər hallarda gizli olan resurslara və xidmətlərə girişi mümkün edir. Bu problem Mastodon v4.5.4, v4.4.11, v4.3.17 və v4.2.29 versiyalarında düzəldilmişdir.
Necə düzəltmək olar
- joinmastodon mastodon4.2.29, 4.3.17, 4.4.11, 4.5.4 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| joinmastodon mastodon | v < 4.2.29, 4.3.0 ≤ v < 4.3.17, 4.4.0 ≤ v < 4.4.11, 4.5.0 ≤ v < 4.5.4 | 4.2.29, 4.3.17, 4.4.11, 4.5.4 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.