CVE-2026-22245 in mastodon
Resumen
por VulDB • 2026-05-27
Mastodon es un servidor de red social gratuito y de código abierto basado en ActivityPub. Por naturaleza, Mastodon realiza muchas solicitudes salientes a dominios proporcionados por el usuario. Sin embargo, Mastodon cuenta con algunos mecanismos de protección para denegar solicitudes a direcciones IP locales (a menos que se especifiquen en `ALLOWED_PRIVATE_ADDRESSES`) para evitar el problema del "deputy confundido" (confused deputy). La lista de rangos de direcciones IP no permitidos carecía de algunos rangos de direcciones IP que pueden utilizarse para alcanzar direcciones IP locales. Un atacante puede utilizar una dirección IP en los rangos afectados para hacer que Mastodon realice solicitudes HTTP contra hosts de bucle invertido (loopback) o de la red local, lo que potencialmente permitiría el acceso a recursos y servicios que de otro modo serían privados. Esto se corrige en Mastodon v4.5.4, v4.4.11, v4.3.17 y v4.2.29.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.