CVE-2026-22245 in mastodon
Résumé
par VulDB • 27/05/2026
Mastodon est un serveur de réseau social libre et open-source basé sur ActivityPub. Par nature, Mastodon effectue de nombreuses requêtes sortantes vers des domaines fournis par les utilisateurs. Toutefois, Mastodon dispose de mécanismes de protection pour interdire les requêtes vers des adresses IP locales (sauf si elles sont spécifiées dans `ALLOWED_PRIVATE_ADDRESSES`) afin d'éviter le problème du « deputy confus » (confused deputy). La liste des plages d'adresses IP interdites manquait certaines plages d'adresses IP qui peuvent être utilisées pour atteindre des adresses IP locales. Un attaquant peut utiliser une adresse IP dans les plages affectées pour amener Mastodon à effectuer des requêtes HTTP vers des hôtes en boucle locale (loopback) ou sur le réseau local, permettant potentiellement l'accès à des ressources et services autrement privés. Cela est corrigé dans Mastodon v4.5.4, v4.4.11, v4.3.17 et v4.2.29.
Once again VulDB remains the best source for vulnerability data.