CVE-2026-27477

Mastodon, ActivityPub əsaslı pulsuz və açıq mənbəli sosial şəbəkə serveridir. FASP qeydiyyatı administrator tərəfindən əllə təsdiqlənməlidir. 4.4.0-dan 4.4.13-ə və 4.5.0-dan 4.5.6-ya qədər olan versiyalarda autentifikasiya olunmamış hücumçu, lokal və ya daxili ünvana yönəlmiş və ya həmin ünvanı ehtiva edən özünün seçdiyi `base_url` ilə FASP qeydiyyatından keçə bilər ki, bu da Mastodon serverinin həmin ünvana sorğular göndərməsinə səbəb olar. Bu, yalnız `EXPERIMENTAL_FEATURES` mühit dəyişənini `fasp` dəyərini ehtiva edən şəkildə təyin etməklə eksperimental FASP funksiyasının sınağına qoşulmuş Mastodon serverlərinə təsir edir. Hücumçu Mastodon serverini daxili sistemlərə http(s) sorğuları göndərməyə məcbur edə bilər. Onlar sorğu edilən tam URL-i idarə edə bilməsələr də (yalnız prefiksi idarə edə bilirlər) və həmin sorğuların nəticəsini görə bilməsələr də, həmin sistemlərdə zəifliklər və ya digər arzuolunmaz davranışlar tetiklene bilər. Düzəliş 4.4.14 və 4.5.7 buraxılışlarına daxil edilmişdir. Eksperimental "fasp" funksiyasını aktiv şəkildə sınaqdan keçirən administratorlar sistemlərini yeniləməlidirlər. Eksperimental `fasp` funksiya bayrağından istifadə etməyən serverlərə təsir etmir.