CVE-2026-47777

Nome do Software Vulnerável e Versões Afetadas Mastodon versões anteriores a 4.6.0

Descrição Uma condição ausente no processo de verificação de contas remotas que consentiram em ser destacadas em uma Coleção remota permite que invasores ignorem as verificações e falsifiquem o consentimento. Um invasor pode forjar o objeto FeatureAuthorization usado para verificar esse consentimento, fazendo parecer que uma conta tem permissão para estar em uma Coleção quando, na verdade, não tem. Embora o FeatureAuthorization deva residir no mesmo domínio que o objeto que ele representa, o sistema não verifica se o objeto é idêntico ao item da Coleção. Este problema afeta especificamente servidores que executam o branch principal ou builds noturnas que habilitaram o recurso experimental de Coleções configurando a variável de ambiente EXPERIMENTAL FEATURES com um valor que inclua collections.

Recomendações Atualize para a versão 4.6.0 ou posterior. Como mitigação temporária, desative o recurso experimental de Coleções removendo collections da variável de ambiente EXPERIMENTAL FEATURES.