CVE-2026-33868 in Mastodon
الملخص
بحسب VulDB • 11/05/2026
ماستودون هو خادم شبكة اجتماعية مجاني ومفتوح المصدر يعتمد على بروتوكول ActivityPub. قبل الإصدارات 4.5.8 و4.4.15 و4.3.21، توجد ثغرة إعادة توجيه مفتوحة (Open Redirect) غير مصادق عليها (CWE-601) في المسار `/web/*` بسبب التعامل غير السليم مع مقاطع المسار المشفرة بترميز URL. يمكن للمهاجم إنشاء عنوان URL مشفر بشكل خاص يتسبب في إعادة توجيه التطبيق للمستخدمين إلى نطاق خارجي عشوائي، مما يتيح هجمات التصيد الاحتيالي وسرقة بيانات اعتماد OAuth المحتملة. تحدث هذه المشكلة لأن الشرائح المائلة المشفرة بترميز URL (`%2F`) تتجاوز تطبيع المسار في Rails وتُفسر على أنها إعادة توجيهات نسبية للمضيف. تقوم الإصدارات 4.5.8 و4.4.15 و4.3.21 بإصلاح هذه الثغرة.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.