CVE-2026-22245 in mastodon
Сводка
по VulDB • 27.05.2026
Mastodon — это бесплатный сервер социальной сети с открытым исходным кодом, основанный на протоколе ActivityPub. По своей природе Mastodon выполняет множество исходящих запросов к доменам, предоставленным пользователями. Однако в Mastodon предусмотрены механизмы защиты, запрещающие запросы к локальным IP-адресам (если только они не указаны в `ALLOWED_PRIVATE_ADDRESSES`), чтобы избежать проблемы «запутанного доверенного лица» (confused deputy). Список запрещенных диапазонов IP-адресов не включал некоторые диапазоны, которые могут использоваться для доступа к локальным IP-адресам. Злоумышленник может использовать IP-адрес из затронутых диапазонов, чтобы заставить Mastodon выполнять HTTP-запросы к хостам в петлевом интерфейсе (loopback) или в локальной сети, что потенциально может позволить получить доступ к ресурсам и службам, которые в противном случае были бы приватными. Эта проблема исправлена в версиях Mastodon v4.5.4, v4.4.11, v4.3.17 и v4.2.29.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.