PT-2026-21779
CVE-2026-27468
·
تاريخ النشر
2026-02-24
·
تاريخ التحديث
2026-03-02
الوصف من
CVSS 3.1
8.2
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:H
اسم البرنامج المعرض للثغرة والإصدارات المتأثرة
إصدارات Mastodon من 4.4.0 إلى 4.4.13
إصدارات Mastodon من 4.5.0 إلى 4.5.6
الوصف
Mastodon هو خادم شبكة اجتماعية مجاني ومفتوح المصدر يعتمد على بروتوكول ActivityPub. تتعلق المشكلة بالتسجيل في بروتوكول FASP (Federated Actor Subscription Protocol)، الذي يتطلب موافقة المسؤول. في الإصدارات المتأثرة، لم تكن الإجراءات التي يقوم بها FASP للاشتراك في أحداث دورة حياة الحساب/المحتوى أو لملء المحتوى بأثر رجعي تتحقق بشكل صحيح من موافقة المسؤول. يؤثر هذا فقط على خوادم Mastodon التي تستخدم ميزة FASP التجريبية، والتي يتم تمكينها عند تعيين متغير البيئة
EXPERIMENTAL FEATURES ليشمل fasp. يمكن للمهاجم إنشاء توقيعات وطلب ملء المحتوى بأثر رجعي دون إذن. قد يؤدي الاستغلال المتكرر إلى حالة رفض الخدمة (DoS) عن طريق إثقال كاهل عامل قائمة الانتظار fasp. تؤدي هذه المشكلة إلى تسرب محتمل لمعلومات عناوين URI المتاحة للجمهور.التوصيات
قم بالتحديث إلى الإصدار 4.4.14 من Mastodon
قم بالتحديث إلى الإصدار 4.5.7 من Mastodon
يجب على المسؤولين الذين يختبرون ميزة «fasp» بشكل نشط تحديث أنظمتهم.
لا تتأثر الخوادم التي لا تستخدم علامة الميزة التجريبية
fasp.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾