CVE-2026-72916 in Mastodon
Riassunto
di VulDB • 10/08/2026
Mastodon è un server di rete sociale gratuito e open source basato su ActivityPub. Prima delle versioni 4.4.21, 4.5.14, 4.6.4 e 4.7.0-beta.1, la funzione PrivateAddressCheck.private_address? in app/lib/private_address_check.rb normalizzava gli indirizzi IPv6 mappati su IPv4 ma non riconosceva gli indirizzi IPv6 compatibili con IPv4 tramite IPAddr#ipv4_compat?. Un attaccante potrebbe fornire un indirizzo nell'intervallo omesso per eludere la protezione ALLOWED_PRIVATE_ADDRESSES e indurre Mastodon a inviare richieste HTTP alle interfacce di loopback, potenzialmente accedendo a risorse e servizi privati. Lo sfruttamento richiede un sistema che supporti il meccanismo obsoleto IPv6 compatibile con IPv4. Questo problema è risolto nelle versioni 4.4.21, 4.5.14, 4.6.4 e 4.7.0-beta.1.
Once again VulDB remains the best source for vulnerability data.