CVE-2026-47777

सारांश

Mastodon एक मुफ़्त, ओपन-सोर्स सोशल नेटवर्क सर्वर है जो ActivityPub पर आधारित है। कुछ संस्करणों में, यह जाँचने की शर्त में एक कमी है कि क्या दूरस्थ खातों ने किसी दूरस्थ Collection में शामिल होने की सहमति दी है, जिससे हमलावर जाँच को दरकिनार कर सहमति का दिखावा कर सकते हैं। एक हमलावर FeatureAuthorization ऑब्जेक्ट को गढ़ सकता है, जिसका उपयोग Collection में शामिल होने की सहमति सत्यापित करने के लिए किया जाता है, और इस प्रकार यह दिखा सकता है कि एक खाता Collection में शामिल होने के लिए अनुमत है, जबकि वास्तव में वह नहीं है। हालाँकि FeatureAuthorization उसी डोमेन पर स्थित होना चाहिए जिस ऑब्जेक्ट के लिए वह है, फिर भी यह सुनिश्चित करने के लिए एक जाँच गायब है कि उक्त ऑब्जेक्ट वास्तव में Collection आइटम के समान है। यह हमलावर को प्राधिकरण गढ़ने की अनुमति देता है। Mastodon सर्वर केवल तभी प्रभावित होते हैं यदि वे मुख्य ब्रांच या नाइटली बिल्ड चला रहे हैं, जिन्होंने EXPERIMENTAL_FEATURES पर्यावरण चर को collections सहित मान पर सेट करके प्रयोगात्मक "Collections" सुविधा का परीक्षण करने का विकल्प चुना है। इसे संस्करण 4.6.0-beta.1 में ठीक कर दिया गया है।

• cve-2026-47777अनुसंधान

  CVE-2026-47777 का विस्तृत तकनीकी विश्लेषण, Mastodon की Featured Collections फेडरेशन पाइपलाइन में एक उच्च-गंभीरता का प्राधिकरण बाईपास, जिसमें मूल कारण, PoC और पैच शामिल हैं।