CVE-2026-47777

概要

Mastodonは、ActivityPubに基づく無料のオープンソースのソーシャルネットワークサーバーです。一部のバージョンにおいて、リモートアカウントがリモートのCollectionに掲載されることに同意したかどうかを確認するチェックに条件が欠落しており、攻撃者がそのチェックを迂回して同意を偽装できる可能性があります。攻撃者は、Collectionへの掲載同意を検証するために使用されるFeatureAuthorizationオブジェクトを偽造し、実際には許可されていないアカウントがCollectionに含まれることを許可されているかのように見せかけることができます。FeatureAuthorizationは、その対象となるオブジェクトと同じドメイン上に存在する必要がありますが、そのオブジェクトが実際にCollectionのアイテムと同じものであることを確認するチェックが欠落しています。これにより、攻撃者が認証を偽造することが可能になります。Mastodonサーバーは、メインブランチまたはナイトリービルドを実行しており、環境変数EXPERIMENTAL_FEATURESにcollectionsを含む値を設定して実験的な「Collections」機能のテストを選択した場合にのみ影響を受けます。これはバージョン4.6.0-beta.1で修正されています。

• cve-2026-47777研究

  CVE-2026-47777の詳細な技術分析。MastodonのFeatured Collectionsフェデレーションパイプラインにおける高深刻度の認可バイパスで、根本原因、PoC、パッチを含みます。