Thisismissem

Mastodon هو خادم شبكة اجتماعية مجاني ومفتوح المصدر يعتمد على بروتوكول ActivityPub. عندما يقوم المسؤول بإعادة تعيين كلمة مرور حساب مستخدم باستخدام واجهة سطر الأوامر مع `bin/tootctl accounts modify --reset-password`، لا يتم إلغاء الجلسات النشطة ورموز الوصول الخاصة بهذا الحساب. وهذا يسمح للمهاجم الذي سبق له اختراق جلسة أو رمز وصول بالاستمرار في استخدام الحساب حتى بعد إعادة تعيين كلمة المرور. الأمر المستخدم لإعادة تعيين كلمة المرور هو `bin/tootctl accounts modify --reset-password`.

Mastodon هو خادم شبكة اجتماعية مجاني ومفتوح المصدر يعتمد على ActivityPub. يقوم خادم البث بمعالجة رموز المصادقة بشكل غير صحيح، حيث يقبل الأحداث الخاصة بخطوط الزمن العامة للعملاء الذين يمتلكون رموزًا صالحة لا تحتوي على النطاق `read:statuses` المطلوب. وهذا يسمح لعملاء OAuth الذين لا يمتلكون الأذونات اللازمة بالاشتراك في القنوات العامة وتلقي أحداث الخط الزمني العام. يقتصر التأثير على المنشورات العامة الجديدة ويتطلب رمزًا صالحًا، ولكنه قد يؤدي إلى وصول غير مقصود إلى المنشورات العامة في بيئات الاتحاد المحدود.

Mastodon هو خادم شبكة اجتماعية مجاني ومفتوح المصدر يعتمد على ActivityPub. قبل الإصدارات 4.4.6 و4.3.14 و4.2.27، لا يؤدي تعطيل حساب مستخدم أو تعليقه إلى فصل الحساب عن واجهة برمجة التطبيقات (API) للبث. وهذا يسمح للحسابات المعطلة أو المعلقة بمواصلة تلقي التحديثات في الوقت الفعلي من خلال اتصالات البث الحالية وإنشاء اتصالات بث جديدة، على الرغم من عدم قدرتها على التفاعل مع نقاط نهاية API الأخرى. يُضعف هذا السلوك إجراءات الإشراف، حيث يتوقع المسؤولون أن تكون الحسابات المعطلة أو الموقوفة منفصلة تمامًا عن الخدمة.

The issue is related to a Server Side Request Forgery attack. When Fedify needs to retrieve an object or activity from a remote activitypub server, it makes a HTTP request to the `@id` or other resources present within the activity it has received from the web. This activity could reference an `@id` that points to an internal IP address, allowing an attacker to send requests to resources internal to the Fedify server's network. This applies to not just resolution of documents containing activities or objects, but also to media URLs as well.

The issue is related to the incorrect handling of Access Tokens when an OAuth Application is destroyed. This could have allowed an application to continue listening to streaming after it had been destroyed, potentially posing security risks to users. The problem arises from the `dependent: delete all` configuration used by Doorkeeper, which prevents the `after commit` callback from firing. As a result, the streaming server is not informed that the Access Tokens have been destroyed. The impact is considered negligible since the affected application had to be owned by the user.

The issue arises from improper and insufficient authorization checks when processing requests, allowing attackers to access more functionality than intended, including administrative and moderator features. This affects every local user of a Pixelfed server and potentially impacts the server's ability to federate. Some user interaction is required to set up the conditions for the vulnerability, but attackers can conduct the attack in a time-delayed manner without active user interaction. A proof of concept exists, and the vulnerability has been addressed in version 0.11.11. Technical details about exploitation include: - **API Endpoints:** For example, `/api/admin/config/update` can be exploited with a `read` scoped access token to perform administrative actions. - **Vulnerable Parameters or Variables:** Access tokens with `read` scope can be used to perform actions requiring higher-privilege scopes, such as `follow` or `admin:write`. - **Function Names:** The vulnerability exploits the improper checking of OAuth Application/Client permissions, allowing access to unauthorized functionality.

The issue is related to a regular expression denial of service vulnerability in the strict mode functionality of the ssri module. This vulnerability can be triggered via a long base64 hash string.