CVE-2026-72916
Təsvir
Mastodon, ActivityPub əsaslı pulsuz və açıq mənbəli sosial şəbəkə serveridir. 4.4.21, 4.5.14, 4.6.4 və 4.7.0-beta.1 versiyalarından əvvəl `app/lib/private_address_check.rb` faylındakı `PrivateAddressCheck.private_address?` funksiyası IPv4-map edilmiş IPv6 ünvanlarını normallaşdırırdı, lakin `IPAddr#ipv4_compat?` vasitəsilə IPv4-uyğun IPv6 ünvanlarını tanımırdı. Hücumçu `ALLOWED_PRIVATE_ADDRESSES` mühafizəsini yan keçmək üçün buraxılmış diapazonda bir ünvan təqdim edərək Mastodona loopback interfeyslərinə HTTP sorğuları göndərməyi təmin edə bilər ki, bu da potensial olaraq şəxsi resurslara və xidmətlərə giriş imkanı yaradır. Bu boşluqdan istifadə etmək üçün köhnəlmiş IPv4-uyğun IPv6 mexanizmini dəstəkləyən sistem tələb olunur. Problem 4.4.21, 4.5.14, 4.6.4 və 4.7.0-beta.1 versiyalarında aradan qaldırılıb.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| mastodon mastodon | < 4.4.21, >= 4.5.0-beta.1, < 4.5.14, >= 4.6.0-beta.1, < 4.6.4 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.