CVE-2026-47777
Açıklama
Mastodon, ActivityPub tabanlı ücretsiz ve açık kaynaklı bir sosyal ağ sunucusudur. Bazı sürümlerde, uzak hesapların uzak bir Collection'da yer almaya onay verip vermediğinin kontrolünde eksik bir koşul bulunmaktadır; bu durum, saldırganların kontrolü atlatmasına ve sahte onay oluşturmasına yol açabilir. Bir saldırgan, bir Collection'da yer alma onayını doğrulamak için kullanılan FeatureAuthorization nesnesini taklit ederek, aslında izin verilmemiş bir hesabın bir Collection'da bulunmasına izin veriliyormuş gibi görünmesini sağlayabilir. FeatureAuthorization nesnesi, ilgili nesne ile aynı alan adında bulunmak zorunda olsa da, söz konusu nesnenin Collection öğesindekiyle aynı olduğunu doğrulayan bir kontrol eksiktir. Bu durum, bir saldırganın yetkilendirmeyi taklit etmesine olanak tanır. Mastodon sunucuları, yalnızca ana dalı veya nightly yapılarını kullanan ve ortam değişkenini EXPERIMENTAL_FEATURES olarak collections değerini içerecek şekilde ayarlayarak deneysel "Collections" özelliğini test etmeyi seçenler için etkilenmektedir. Bu sorun 4.6.0-beta.1 sürümünde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| mastodon mastodon | >= nightly.2026-03-10, < 4.6.0-beta.1 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.