CVE-2026-23964

Mastodon, ActivityPub əsaslı pulsuz və açıq mənbəli sosial şəbəkə serveridir. Versiyalar 4.5.5, 4.4.12 və 4.3.18-dən əvvəlki versiyalarda, veb push abunəliyinin yenilənməsi son nöqtəsindəki (endpoint) təhlükəsiz olmayan birbaşa obyekt istinadı (IDOR), hər hansı autentifikasiya olunmuş istifadəçiyə rəqəmsal abunəlik ID-sini təxmin etməklə və ya əldə etməklə başqa bir istifadəçinin push abunəliyini yeniləməyə imkan verir. Bu, digər istifadəçilər üçün push bildirişlərini pozmaq üçün istifadə edilə bilər və həmçinin veb push abunəliyi son nöqtəsini sızdırır. Veb push abunəliyi olan hər bir istifadəçi buna məruz qalır, çünki digər autentifikasiya olunmuş istifadəçi abunəlik ID-sini təxmin edərsə və ya əldə edərsə, onların push abunəlik parametrləri ilə manipulyasiya edə bilər. Bu, hücumçuya siyasəti (izləyicisi olmadığı və ya izləmədiyi istifadəçilərdən gələn bildirişlərin filtrlənib-filtrlənməyəcəyini) və qurbanlarının abunə olduğu bildiriş növlərini dəyişdirərək push bildirişlərini pozmağa imkan verir. Əlavə olaraq, son nöqtə abunəlik obyektini qaytarır ki, bura həmin abunəlik üçün push bildiriş son nöqtəsi daxildir, lakin onun açar cütü (keypair) daxil deyil. Mastodon v4.5.5, v4.4.12, v4.3.18 versiyalarında bu problem aradan qaldırılıb.