CVE-2026-33868
Açıklama
Mastodon, ActivityPub tabanlı ücretsiz ve açık kaynaklı bir sosyal ağ sunucusudur. 4.5.8, 4.4.15 ve 4.3.21 sürümlerinden önce, URL ile kodlanmış yol segmentlerinin hatalı işlenmesi nedeniyle `/web/*` rotasında kimlik doğrulama gerektirmeyen bir Açık Yönlendirme güvenlik açığı (CWE-601) bulunmaktadır. Bir saldırgan, uygulamanın kullanıcıları rastgele bir harici alan adına yönlendirmesine neden olan özel olarak kodlanmış bir URL oluşturabilir; bu da kimlik avı saldırılarını ve olası OAuth kimlik bilgisi hırsızlığını mümkün kılar. Sorun, URL ile kodlanmış eğik çizgilerin (`%2F`) Rails yol normalleştirmesini atlaması ve ana bilgisayara göreli yönlendirmeler olarak yorumlanması nedeniyle ortaya çıkmaktadır. 4.5.8, 4.4.15 ve 4.3.21 sürümleri sorunu gidermektedir.
Nasıl düzeltilir
- joinmastodon mastodon4.3.21, 4.4.15, 4.5.8 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| joinmastodon mastodon | v < 4.3.21, 4.4.0 ≤ v < 4.4.15, 4.5.0 ≤ v < 4.5.8 | 4.3.21, 4.4.15, 4.5.8 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.