Mastodon · Mastodon · CVE-2024-25618
**Nome do software vulnerável e versões afetadas**
Versões do Mastodon anteriores à 3.5.18
Versões do Mastodon anteriores à 4.0.14
Versões do Mastodon anteriores à 4.1.14
Versões do Mastodon anteriores à 4.2.6
**Descrição**
O problema está relacionado à implementação dos protocolos CAS, SAML e OpenID Connect no Mastodon, o que permite que novas identidades de provedores de autenticação configurados sejam associadas a usuários locais existentes com o mesmo endereço de e-mail. Isso resulta em uma possível invasão de conta se o provedor de autenticação permitir a alteração do endereço de e-mail ou se vários provedores de autenticação estiverem configurados. Todos os usuários que fazem login por meio de provedores de autenticação externos são afetados. A gravidade é média, pois também requer que o provedor de autenticação externo apresente comportamento inadequado. Alguns provedores OIDC conhecidos facilitam a permissão acidental de alterações de e-mail não verificadas.
**Recomendações**
Para versões anteriores à 3.5.18, atualize para a versão 3.5.18 ou posterior.
Para versões anteriores à 4.0.14, atualize para a versão 4.0.14 ou posterior.
Para versões anteriores à 4.1.14, atualize para a versão 4.1.14 ou posterior.
Para versões anteriores à 4.2.6, atualize para a versão 4.2.6 ou posterior.