CVE-2026-27477
Açıklama
Mastodon, ActivityPub tabanlı ücretsiz ve açık kaynaklı bir sosyal ağ sunucusudur. FASP kaydı, bir yönetici tarafından manuel onay gerektirir. 4.4.0 ile 4.4.13 ve 4.5.0 ile 4.5.6 arasındaki sürümlerde, kimliği doğrulanmamış bir saldırgan, yerel veya dahili bir adresi içeren veya bu adrese çözümlenen, kendi seçtiği bir `base_url` ile FASP kaydı yapabilir; bu durum Mastodon sunucusunun söz konusu adrese istekler göndermesine yol açar. Bu durum yalnızca `EXPERIMENTAL_FEATURES` ortam değişkenini `fasp` içeren bir değere ayarlayarak deneysel FASP özelliğini test etmeyi seçen Mastodon sunucularını etkiler. Bir saldırgan, Mastodon sunucusunu dahili sistemlere http(s) istekleri göndermeye zorlayabilir. Saldırganlar istenen tam URL'yi kontrol edemeseler de (yalnızca öneki kontrol edebilirler) ve bu isteklerin sonucunu göremeseler de, bu sistemlerde güvenlik açıkları veya diğer istenmeyen davranışlar tetiklenebilir. Düzeltme 4.4.14 ve 4.5.7 sürümlerinde yer almaktadır. Deneysel "fasp" özelliğini aktif olarak test eden yöneticiler sistemlerini güncellemelidir. Deneysel özellik bayrağı olan `fasp` özelliğini kullanmayan sunucular etkilenmemektedir.
Nasıl düzeltilir
- joinmastodon mastodon4.4.14, 4.5.7 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| joinmastodon mastodon | 4.4.0 ≤ v < 4.4.14, 4.5.0 ≤ v < 4.5.7 | 4.4.14, 4.5.7 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.