CVE-2026-47777: Mastodon tem uma bypass de verificação de consentimento nas Collections remotas | Kitploit

CVE-2026-47777

AltoPublicado

Mastodon tem uma bypass de verificação de consentimento nas Collections remotas

Publicado: 15 de jun. de 2026
Atualizado: 15 de jun. de 2026
Atribuindo CNA: GitHub_M
Evidência observada: 17 de ago. de 2026

CVSS primário

7,5/ 10Alto

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N

Estimativa de probabilidade EPSS

0,2%

Baixo · próximos 30 dias

Percentil: 6,4%
Data do modelo: 21 de set. de 2026

EPSS é uma estimativa estatística, não uma certeza ou uma medida de impacto. Combine-o com CVSS, status KEV, exposição e seu ambiente.

Resumo

Mastodon é um servidor de rede social gratuito e de código aberto baseado em ActivityPub. Em algumas versões, uma condição ausente na verificação se contas remotas consentiram em ser apresentadas em uma Collection remota poderia permitir que atacantes contornassem a verificação e falsificassem o consentimento. Um atacante poderia forjar o objeto FeatureAuthorization usado para verificar o consentimento de ser apresentado em uma Collection e, assim, fazer parecer que uma conta tem permissão para estar em uma Collection quando, na verdade, não tem. Embora o FeatureAuthorization deva residir no mesmo domínio que o objeto ao qual se destina, falta uma verificação para garantir que esse objeto seja realmente o mesmo que o item da Collection. Isso permite que um atacante forje a autorização. Os servidores Mastodon são afetados apenas se estiverem executando o branch principal ou builds noturnos que optaram por testar o recurso experimental "Collections" definindo a variável de ambiente EXPERIMENTAL_FEATURES para um valor que inclua collections. Isso foi corrigido na versão 4.6.0-beta.1.

Fontes

cve-2026-47777Pesquisa
Análise técnica detalhada do CVE-2026-47777, um bypass de autorização de alta gravidade no pipeline de federação do Featured Collections do Mastodon, incluindo causa raiz, PoC e patch.

Uso responsável

Use informações de vulnerabilidade apenas em sistemas que você possui ou está autorizado a testar. O Kitploit vincula-se a metadados de pesquisa pública e não armazena código de exploração ou cargas maliciosas.