CVE-2026-25540

Nome do Software Vulnerável e Versões Afetadas Versões do Mastodon anteriores a 4.3.19 Versões do Mastodon anteriores a 4.4.13 Versões do Mastodon anteriores a 4.5.6

Descrição O Mastodon, um servidor de rede social gratuito e de código aberto baseado no ActivityPub, contém uma vulnerabilidade relacionada ao envenenamento de cache web. Quando a configuração AUTHORIZED FETCH está habilitada, os endpoints ActivityPub para posts fixados e hashtags em destaque dependem da conta que assinou a solicitação HTTP. No entanto, o sistema armazena e reutiliza esse conteúdo em um cache interno sem considerar o ator que assinou. Isso pode levar a um cenário em que conteúdo destinado a usuários legítimos é servido a usuários bloqueados, ou vice-versa, potencialmente expondo informações sensíveis ou alterando a experiência do usuário. O problema decorre do tratamento inadequado de respostas em cache com base na conta que fez a solicitação. O componente vulnerável é o Rails.cache.

Recomendações Atualize o Mastodon para a versão 4.3.19 ou posterior. Atualize o Mastodon para a versão 4.4.13 ou posterior. Atualize o Mastodon para a versão 4.5.6 ou posterior.