CVE-2024-52592

Versões do Misskey anteriores à 2024.11.0-alpha.3

O Misskey é uma plataforma de mídia social federada de código aberto. Nas versões afetadas, a falta de validação em ApInboxService.update permite que um invasor modifique o resultado de enquetes pertencentes a outro usuário. Não é necessária autenticação, exceto por uma assinatura válida de qualquer agente em qualquer instância remota. As instâncias vulneráveis do Misskey aceitarão atualizações falsificadas para enquetes remotas. As enquetes locais não são afetadas.

Para versões anteriores à 2024.11.0-alpha.3, atualize para a versão 2024.11.0-alpha.3 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso à função ApInboxService.update até que um patch esteja disponível. Evite aceitar atualizações para enquetes remotas de fontes não confiáveis até que o problema seja resolvido.