CVE-2026-47777

Zusammenfassung

Mastodon ist ein freier, quelloffener Social-Network-Server, der auf ActivityPub basiert. In bestimmten Versionen fehlt eine Bedingung bei der Prüfung, ob entfernte Konten der Aufnahme in eine entfernte Collection zugestimmt haben, was es Angreifern ermöglichen könnte, die Prüfung zu umgehen und die Zustimmung zu fälschen. Ein Angreifer könnte das FeatureAuthorization-Objekt fälschen, das zur Verifizierung der Zustimmung zur Aufnahme in eine Collection verwendet wird, und so den Anschein erwecken, dass ein Konto in einer Collection enthalten sein darf, obwohl es das tatsächlich nicht ist. Während sich das FeatureAuthorization auf derselben Domain befinden muss wie das Objekt, für das es bestimmt ist, fehlt eine Prüfung, die sicherstellt, dass besagtes Objekt tatsächlich dasselbe ist wie im Collection-Element. Dies ermöglicht es einem Angreifer, die Autorisierung zu fälschen. Mastodon-Server sind nur betroffen, wenn sie den Hauptzweig oder Nightly-Builds ausführen, die sich für das Testen der experimentellen „Collections“-Funktion entschieden haben, indem sie die Umgebungsvariable EXPERIMENTAL_FEATURES auf einen Wert gesetzt haben, der collections enthält. Dies wurde in Version 4.6.0-beta.1 behoben.

• cve-2026-47777Forschung

  Detaillierte technische Analyse von CVE-2026-47777, einer Autorisierungsumgehung mit hohem Schweregrad in der Federation-Pipeline der Featured Collections von Mastodon, einschließlich Ursache, PoC und Patch.