CVE-2026-72916 in Mastodon
Zusammenfassung
von VulDB • 10.08.2026
Mastodon ist ein kostenloser Open-Source-Server für soziale Netzwerke auf Basis von ActivityPub. Vor den Versionen 4.4.21, 4.5.14, 4.6.4 und 4.7.0-beta.1 normalisierte PrivateAddressCheck.private_address? in app/lib/private_address_check.rb IPv4-mapped-IPv6-Adressen erkannte jedoch keine IPv4-kompatiblen IPv6-Adressen mit IPAddr#ipv4_compat?. Ein Angreifer konnte eine Adresse im ausgelassenenen Bereich angeben, um den ALLOWED_PRIVATE_ADDRESSES-Schutz zu umgehen und Mastodon dazu bringen, HTTP-Anfragen an Loopback-Schnittstellen zu senden, wodurch potenziell private Ressourcen und Dienste zugänglich gemacht werden konnten. Die Ausnutzung erfordert ein System, das den veralteten IPv4-kompatiblen IPv6-Mechanismus unterstützt. Dieses Problem wurde in den Versionen 4.4.21, 4.5.14, 4.6.4 und 4.7.0-beta.1 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.