CVE-2026-47777

总结

Mastodon 是一个基于 ActivityPub 的免费开源社交网络服务器。在某些版本中，检查远程账户是否同意被收录到远程 Collection 时缺少一个条件，这可能导致攻击者绕过检查并伪造同意。攻击者可以伪造用于验证是否同意被收录到 Collection 中的 FeatureAuthorization 对象，从而使其看起来某个账户被允许加入 Collection，而实际上并非如此。虽然 FeatureAuthorization 必须与其所针对的对象位于同一域中，但缺少一项检查来确保该对象确实与 Collection 项中的对象相同。这使得攻击者能够伪造授权。仅当 Mastodon 服务器运行主分支或 nightly 构建，并通过将环境变量 EXPERIMENTAL_FEATURES 设置为包含 collections 的值来选择测试实验性“Collections”功能时，才会受到影响。此问题已在 4.6.0-beta.1 版本中修复。

• cve-2026-47777研究

  对CVE-2026-47777的详细技术分析，这是Mastodon的Featured Collections联邦管道中的一个高危授权绕过漏洞，包括根本原因、PoC和补丁。