CVE-2026-27468
Açıklama
Mastodon, ActivityPub tabanlı ücretsiz ve açık kaynaklı bir sosyal ağ sunucusudur. FASP kaydı, bir yönetici tarafından manuel onay gerektirir. 4.4.0 ile 4.4.13 ve 4.5.0 ile 4.5.6 arasındaki sürümlerde, bir FASP'nin hesap/içerik yaşam döngüsü olaylarına abone olmak veya içeriği geri doldurmak için gerçekleştirdiği işlemler, FASP'nin gerçekten onaylanıp onaylanmadığını düzgün şekilde kontrol etmemektedir. Bu durum yalnızca `EXPERIMENTAL_FEATURES` ortam değişkenini `fasp` içeren bir değere ayarlayarak deneysel FASP özelliğini test etmeyi seçen Mastodon sunucularını etkiler. Bir saldırgan, bir yönetici onayı olmadan abonelikler oluşturabilir ve içerik geri doldurma talebinde bulunabilir. Bir kez yapıldığında bu durum, zaten herkese açık olan URI'lerin küçük çaplı bilgi sızıntısına yol açar. Ancak birkaç kez tekrarlandığında, `fasp` kuyruğundan sorumlu sidekiq çalışanına baskı uygulayarak ciddi bir DOS vektörü oluşturur. Düzeltme 4.4.14 ve 4.5.7 sürümlerinde yer almaktadır. Deneysel "fasp" özelliğini aktif olarak test eden yöneticiler sistemlerini güncellemelidir. Deneysel özellik bayrağı `fasp` kullanmayan sunucular etkilenmemektedir.
Nasıl düzeltilir
- joinmastodon mastodon4.4.14, 4.5.7 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| joinmastodon mastodon | 4.4.0 ≤ v < 4.4.14, 4.5.0 ≤ v < 4.5.7 | 4.4.14, 4.5.7 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.