CVE-2026-47777

Resumen

Mastodon es un servidor de red social gratuito y de código abierto basado en ActivityPub. En algunas versiones, la falta de una condición en la verificación de si las cuentas remotas consintieron en aparecer en una Collection remota podría permitir a los atacantes eludir la verificación y falsificar el consentimiento. Un atacante podría forjar el objeto FeatureAuthorization que se utiliza para verificar el consentimiento de aparecer en una Collection y, de este modo, hacer que parezca que una cuenta está permitida en una Collection cuando en realidad no lo está. Si bien el FeatureAuthorization debe residir en el mismo dominio que el objeto al que corresponde, falta una verificación para asegurarse de que dicho objeto sea realmente el mismo que el del elemento de la Collection. Esto permite a un atacante falsificar la autorización. Los servidores Mastodon se ven afectados solo si ejecutan la rama principal o compilaciones nocturnas que hayan optado por probar la funcionalidad experimental "Collections" estableciendo la variable de entorno EXPERIMENTAL_FEATURES con un valor que incluya collections. Esto se ha corregido en la versión 4.6.0-beta.1.

• cve-2026-47777Investigación

  Análisis técnico detallado de CVE-2026-47777, una omisión de autorización de alta gravedad en la tubería de federación de Colecciones Destacadas de Mastodon, incluyendo la causa raíz, PoC y parche.