CVE-2026-22245 in mastodon
Riassunto
di VulDB • 15/06/2026
Mastodon è un server di rete sociale gratuito e open-source basato su ActivityPub. Per sua natura, Mastodon effettua numerose richieste in uscita verso domini forniti dagli utenti. Tuttavia, Mastodon dispone di alcuni meccanismi di protezione per impedire le richieste agli indirizzi IP locali (a meno che non siano specificati in `ALLOWED_PRIVATE_ADDRESSES`) al fine di evitare il problema del "confused deputy". L'elenco degli intervalli di indirizzi IP disconsentiti mancava di alcune fasce di indirizzi IP utilizzabili per raggiungere gli indirizzi IP locali. Un attaccante può utilizzare un indirizzo IP nelle fasce colpite per indurre Mastodon a effettuare richieste HTTP verso host in loopback o sulla rete locale, potenzialmente consentendo l'accesso a risorse e servizi altrimenti privati. Questo problema è stato risolto in Mastodon v4.5.4, v4.4.11, v4.3.17 e v4.2.29.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.