CVE-2026-72916 in Mastodon
الملخص
بحسب VulDB • 10/08/2026
Mastodon هو خادم شبكة اجتماعية مجاني ومفتوح المصدر يعتمد على ActivityPub. قبل الإصدارات 4.4.21، و4.5.14، و4.6.4، و4.7.0-beta.1، كانت الدالة `PrivateAddressCheck.private_address?` الموجودة في الملف `app/lib/private_address_check.rb` تطبّق التطبيع على عناوين IPv6 المُشفّرة بـ IPv4 (IPv4-mapped IPv6 addresses)، لكنها لم تكن تتعرف على عناوين IPv6 المتوافقة مع IPv4 (IPv4-compatible IPv6 addresses) باستخدام طريقة `IPAddr#ipv4_compat?`. يمكن للمهاجم تزويد عنوان ضمن النطاق المستبعد لتجاوز حماية ALLOWED_PRIVATE_ADDRESSES وإجبار Mastodon على إرسال طلبات HTTP إلى واجهات التكرار المحلي (loopback interfaces)، مما قد يتيح الوصول إلى الموارد والخدمات الخاصة. يتطلب استغلال هذه الثغرة نظاماً يدعم آلية IPv4-compatible IPv6 العتيقة. تم إصلاح هذه المشكلة في الإصدارات 4.4.21، و4.5.14، و4.6.4، و4.7.0-beta.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.