CVE-2026-27468

Mastodon, ActivityPub əsaslı pulsuz və açıq mənbəli sosial şəbəkə serveridir. FASP qeydiyyatı administrator tərəfindən əllə təsdiqlənməyi tələb edir. 4.4.0-dan 4.4.13-ə və 4.5.0-dan 4.5.6-ya qədər olan versiyalarda, hesab/məzmun həyat dövrü hadisələrinə abunə olmaq və ya məzmunu doldurmaq üçün FASP tərəfindən yerinə yetirilən hərəkətlər zamanı FASP-ın həqiqətən təsdiqlənib-təsdiqlənmədiyi düzgün yoxlanılmırdı. Bu, yalnız `EXPERIMENTAL_FEATURES` mühit dəyişənini `fasp` daxil olan bir dəyərə təyin etməklə eksperimental FASP funksiyasının sınaqdan keçirilməsini seçmiş Mastodon serverlərinə təsir edir. Hücumçu administratorın təsdiqi olmadan abunəliklər yarada və məzmunun doldurulmasını tələb edə bilər. Bir dəfə yerinə yetirildikdə bu, onsuz da ictimaiyyətə açıq olan URI-lərin kiçik miqdarda sızmasına səbəb olur. Lakin bir neçə dəfə təkrarlandıqda, bu, `fasp` növbəsinə cavabdeh olan sidekiq işçisinə yük salaraq ciddi DOS vektoru yaradır. Düzəliş 4.4.14 və 4.5.7 buraxılışlarına daxil edilmişdir. Eksperimental "fasp" funksiyasını aktiv şəkildə sınaqdan keçirən administratorlar sistemlərini yeniləməlidir. Eksperimental `fasp` funksiya bayrağından istifadə etməyən serverlərə təsir göstərmir.