PT-2026-69985 · Mastodon · Mastodon
CVE-2026-72916
·
Publicado
2026-08-10
·
Atualizado
2026-08-17
CVSS v4.0
6.3
Média
| Vetor | AV:N/AC:H/AT:P/PR:N/UI:N/VC:N/VI:N/VA:N/SC:L/SI:L/SA:L/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X |
Nome do Software Vulnerável e Versões Afetadas
Mastodon versões anteriores a 4.4.21
Mastodon versões anteriores a 4.5.14
Mastodon versões anteriores a 4.6.4
Mastodon versões anteriores a 4.7.0-beta.1
Description
Existe uma falha de bypass na proteção contra Server-Side Request Forgery (SSRF) na função
PrivateAddressCheck.private address? em app/lib/private address check.rb. Embora o sistema normalizasse endereços IPv6 mapeados para IPv4, ele não reconhecia endereços IPv6 compatíveis com IPv4 através de IPAddr#ipv4 compat?. Um invasor poderia fornecer um endereço na faixa omitida para ignorar a proteção ALLOWED PRIVATE ADDRESSES e fazer com que o servidor envie requisições HTTP para interfaces de loopback, potencialmente acessando recursos e serviços privados. A exploração requer um sistema que suporte o mecanismo obsoleto de IPv6 compatível com IPv4.Recommendations
Atualizar para a versão 4.4.21
Atualizar para a versão 4.5.14
Atualizar para a versão 4.6.4
Atualizar para a versão 4.7.0-beta.1
Exploit
Correção
SSRF
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Mastodon