CVE-2024-25636

Misskey, ActivityPub desteğine sahip açık kaynaklı ve merkeziyetsiz bir sosyal medya platformudur. Versiyon 2024.2.0 öncesinde, uzak Activity Streams nesneleri getirilirken Misskey, uzak sunucudan gelen yanıtın `Content-Type` başlık değerinin Activity Streams medya türü olup olmadığını kontrol etmemektedir; bu durum, eğer uzak sunucu rastgele kullanıcı yüklemelerini kabul ediyorsa, bir tehdit aktörünün uzak sunucuya özel olarak hazırlanmış bir Activity Streams belgesi yüklemesine ve bir Misskey örneğinin bunu getirmesini sağlamasına olanak tanır. Bu güvenlik açığı, bir tehdit aktörünün aşağıdaki özelliklerin tamamını karşılayan uzak bir sunucudaki hesabı taklit etmesine ve ele geçirmesine izin verir: tehdit aktörünün hesap kaydetmesine izin vermesi; rastgele kullanıcı tarafından yüklenen belgeleri kabul etmesi ve bunları meşru Activity Streams aktörleriyle aynı alan adına yerleştirmesi; ve `Accept` başlık değeri Activity Streams medya türü olan isteklere yanıt olarak kullanıcı tarafından yüklenen belgeyi sunması. Versiyon 2024.2.0, bu sorun için bir yama içermektedir.