CVE-2026-23964
Açıklama
Mastodon, ActivityPub tabanlı ücretsiz ve açık kaynaklı bir sosyal ağ sunucusudur. Versiyonlar 4.5.5, 4.4.12 ve 4.3.18 öncesinde, web push abonelik güncelleme uç noktasındaki güvenli olmayan doğrudan nesne referansı (IDOR), herhangi bir kimliği doğrulanmış kullanıcının sayısal abonelik kimliğini tahmin ederek veya elde ederek başka bir kullanıcının push aboneliğini güncellemesine olanak tanır. Bu durum, diğer kullanıcıların push bildirimlerini bozmak için kullanılabilir ve ayrıca web push abonelik uç noktasını sızdırır. Web push aboneliği olan her kullanıcı etkilenir; çünkü başka bir kimliği doğrulanmış kullanıcı, abonelik kimliğini tahmin edebilirse veya elde edebilirse onların push abonelik ayarlarıyla oynayabilir. Bu, bir saldırganın kurbanlarının politikasını (takip etmeyenlerden veya takip edilmeyen kullanıcılardan gelen bildirimlerin filtrelenip filtrelenmeyeceği) ve abone olunan bildirim türlerini değiştirerek push bildirimlerini bozmasına izin verir. Ek olarak uç nokta, bu abonelik için anahtar çiftini içermeyen ancak push bildirim uç noktasını içeren abonelik nesnesini döndürür. Mastodon versiyonları v4.5.5, v4.4.12, v4.3.18 yamalanmıştır.
Nasıl düzeltilir
- joinmastodon mastodon4.3.18, 4.4.12, 4.5.5 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| joinmastodon mastodon | v < 4.3.18, 4.4.0 ≤ v < 4.4.12, 4.5.0 ≤ v < 4.5.5 | 4.3.18, 4.4.12, 4.5.5 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.