CVE-2026-47777
Mastodon의 원격 Collections에 동의 확인 우회 취약점이 존재합니다.
- 게시됨
- 2026. 6. 15.
- 업데이트됨
- 2026. 6. 15.
- CNA 할당 중
- GitHub_M
- 증거 관찰됨
- 2026. 8. 17.
기본 CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N낮음 · 다음 30일
- 백분위수
- 11.2%
- 모델 날짜
- 2026. 10. 17.
EPSS는 통계적 추정치이지 확실성이나 영향의 척도가 아닙니다. 이를 CVSS, KEV 상태, 노출 및 환경과 결합하세요.
요약
Mastodon은 ActivityPub 기반의 무료 오픈소스 소셜 네트워크 서버입니다. 특정 버전에서 원격 계정이 원격 Collection에 등재되는 것에 동의했는지 확인하는 검사에 누락된 조건이 있어, 공격자가 해당 검사를 우회하고 동의를 위조할 수 있습니다. 공격자는 Collection에 등재되는 동의를 검증하는 데 사용되는 FeatureAuthorization 객체를 위조하여, 실제로는 허용되지 않은 계정이 Collection에 포함될 수 있는 것처럼 보이게 만들 수 있습니다. FeatureAuthorization은 해당 객체가 대상으로 하는 객체와 동일한 도메인에 있어야 하지만, 해당 객체가 실제로 Collection 항목과 동일한 객체인지 확인하는 검사가 누락되어 있습니다. 이로 인해 공격자가 인증을 위조할 수 있습니다. Mastodon 서버는 메인 브랜치 또는 야간 빌드를 실행하면서 EXPERIMENTAL_FEATURES 환경 변수 값을 collections를 포함하도록 설정하여 실험적인 "Collections" 기능 테스트를 선택한 경우에만 영향을 받습니다. 이 문제는 버전 4.6.0-beta.1에서 패치되었습니다.
소스
# CVE-2026-47777 상세 기술 분석: Mastodon의 Featured Collections 연합 파이프라인에서의 높은 심각도 권한 부여 우회 — 근본 원인, PoC 및 패치 포함
책임 있는 사용
귀하가 소유하고 있거나 테스트할 권한이 있는 시스템에 대해서만 취약점 정보를 사용하십시오. Kitploit은 공개 연구 메타데이터에 연결되며 익스플로잇 코드나 악성 페이로드를 저장하지 않습니다.