CVE-2025-46340

Misskey açık kaynaklı, federe bir sosyal medya platformudur. Versiyon 12.0.0 ile başlayıp versiyon 2025.4.1 öncesine kadar olan sürümlerde, `UrlPreviewService` ve `MkUrlPreview` içerisinde gerçekleştirilen doğrulamadaki bir gözden kaçırma nedeniyle, bir saldırganın `MkUrlPreview` bileşenine rastgele CSS enjekte etmesi mümkündür. `UrlPreviewService.wrap`, eğer `http` veya `https` dışında, Misskey tarafından anlaşılma olasılığı düşük bir protokol kullanılıyorsa orijinal URL'yi döndürmeye geri döner. Bu durum hem kullanıcıların anonimliğini bozabilir hem de istemcide daha fazla saldırıya izin verebilir. Ek olarak, `MkUrlPreview` bir `background-image` özelliği uygularken CSS'i temizlemez (escape), bu da bir saldırganın önizleme öğesine rastgele stiller uygulayan bir URL oluşturmasına olanak tanır. Teorik olarak bir saldırgan, kullanıcıyı kimlik bilgilerini veya benzer hassas bilgileri vermeye ikna edebilecek sahte bir hata mesajı oluşturmak için bir CSS enjeksiyonu yükü hazırlayabilir. Versiyon 2025.4.1, sorun için bir yama içermektedir.