Mastodon — это автономная федеративная платформа микроблогов. Начиная с версии 4.2.0 и до версий 4.2.16 и 4.3.4, ограничения скорости отсутствуют в `/auth/setup`. Без этих ограничений злоумышленник может создавать запросы, которые отправят электронное письмо на произвольные адреса.
В версиях 4.2.16 и 4.3.4 проблема устранена.
Показать оригинальное описание (EN)
Mastodon is a self-hosted, federated microblogging platform. Starting in version 4.2.0 and prior to versions 4.2.16 and 4.3.4, the rate limits are missing on `/auth/setup`. Without those rate limits, an attacker can craft requests that will send an email to an arbitrary addresses. Versions 4.2.16 and 4.3.4 fix the issue.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Нужны права
Не требуются
Права не нужны
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Нет
Нет утечки данных
Целостность
Нет
Нет модификации данных
Доступность
Низкое
Частичное нарушение работы
Строка CVSS v3.1
Тип уязвимости (CWE)
Уязвимые продукты 2
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Joinmastodon Mastodon
cpe:2.3:a:joinmastodon:mastodon:*:*:*:*:*:*:*:*
|
4.2.0
|
4.2.16
|
|
Joinmastodon Mastodon
cpe:2.3:a:joinmastodon:mastodon:*:*:*:*:*:*:*:*
|
4.3.0
|
4.3.4
|