CVE-2026-33868
Təsvir
Mastodon, ActivityPub əsaslı pulsuz və açıq mənbəli sosial şəbəkə serveridir. Versiyalar 4.5.8, 4.4.15 və 4.3.21-dən əvvəlki versiyalarda, URL-kodlaşdırılmış yol seqmentlərinin yanlış idarə edilməsi səbəbindən `/web/*` marşrutunda autentifikasiya tələb etməyən Açıq Yönləndirmə (Open Redirect) zəifliyi (CWE-601) mövcuddur. Hücumçu tətbiqin istifadəçiləri ixtiyari xarici domenə yönləndirməsinə səbəb olan xüsusi kodlaşdırılmış URL yarada bilər ki, bu da fişinq hücumlarına və potensial olaraq OAuth etibarnamələrinin oğurlanmasına imkan verir. Problem, URL-kodlaşdırılmış slash simvollarının (`%2F`) Rails yol normalizasiyasını yan keçməsi və hosta nisbətən yönləndirmələr kimi şərh edilməsi səbəbindən baş verir. Versiyalar 4.5.8, 4.4.15 və 4.3.21 bu problemi aradan qaldırır.
Necə düzəltmək olar
- joinmastodon mastodon4.3.21, 4.4.15, 4.5.8 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| joinmastodon mastodon | v < 4.3.21, 4.4.0 ≤ v < 4.4.15, 4.5.0 ≤ v < 4.5.8 | 4.3.21, 4.4.15, 4.5.8 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.