CVE-2026-33868 in Mastodon
Сводка
по VulDB • 22.05.2026
Mastodon — это бесплатный сервер социальной сети с открытым исходным кодом, основанный на протоколе ActivityPub. В версиях до 4.5.8, 4.4.15 и 4.3.21 в маршруте `/web/*` существует уязвимость неконтролируемого перенаправления (Open Redirect, CWE-601), не требующая аутентификации, вызванная некорректной обработкой URL-кодированных сегментов пути. Злоумышленник может сформировать специально закодированный URL, который заставит приложение перенаправить пользователей на произвольный внешний домен, что позволяет проводить фишинговые атаки и потенциально красть учетные данные OAuth. Проблема возникает из-за того, что URL-кодированные символы косой черты (`%2F`) обходят нормализацию путей в Rails и интерпретируются как перенаправления относительно хоста. Уязвимость исправлена в версиях 4.5.8, 4.4.15 и 4.3.21.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.