Mastodon - это бесплатный сервер социальных сетей с открытым исходным кодом на базе ActivityPub. До версий 4.5.5, 4.4.12 и 4.3.18 небезопас…

Mastodon - это бесплатный сервер социальных сетей с открытым исходным кодом на базе ActivityPub. До версий 4.5.5, 4.4.12 и 4.3.18 небезопасная прямая ссылка на объект в конце обновления подписки веб-толчка позволяет любому аутентифицированному пользователю обновлять подписку другого пользователя, угадывая или получая числовое удостоверение подписки. Это может быть использовано для нарушения push-уведомлений для других пользователей, а также утечки конечной точки веб-подписки. Любой пользователь с подпиской на веб-толчок подвержен влиянии, потому что другой аутентифицированный пользователь может вмешаться в настройки подписки на push, если он может угадать или получить удостоверение подписки. Это позволяет злоумышленнику нарушать push-уведомления, изменяя политику (будь то фильтрация уведомлений от неподписчиков или неподписных пользователей) и подписывается на типы уведомлений своих жертв. Кроме того, конечная точка возвращает объект подписки, который включает в себя конечную точку push-уведомления для этой подписки, но не ее ключ. Mastodon версии v4.5.5, v4.4.12, v4.3.18 исправлены.