PT-2024-35387 · Misskey · Misskey

Warriordog · Publicado 2024-12-18 · Atualizado 2025-11-26 · CVE-2024-52590

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.8

Alta

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:H/VA:N/SC:L/SI:N/SA:L

Nome do software vulnerável e versões afetadas

Versões do Misskey anteriores à 2024.11.0-alpha.3

Descrição

O problema diz respeito à falta de validação em ApRequestService.signedGet, permitindo que um invasor crie perfis de usuário falsos que parecem ser de uma instância diferente. Esses perfis podem ser usados para se passar por usuários existentes, dando aos invasores controle total para publicar, reenviar ou interagir como uma conta real.

Recomendações

Para versões anteriores à 2024.11.0-alpha.3, atualize para a versão 2024.11.0-alpha.3 ou posterior para resolver o problema. Como solução temporária, considere restringir as interações com perfis de usuário não verificados ou suspeitos até que a atualização possa ser aplicada.

Exploit

Correção

RCE

Enumeração de Fraquezas

CWE-20

Identificadores relacionados

CVE-2024-52590

GHSA-7VGR-P3VC-P4H2

Produtos afetados

Misskey

Referências · 8

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/52xxx/CVE-2024-52590.json · Exploit
• https://github.com/misskey-dev/misskey/security/advisories/GHSA-7vgr-p3vc-p4h2 · Nota
• https://t.me/cvedetector/13245 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1869466911144026181 · Publicação no Twitter
• https://t.me/cveNotify/144090 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/1869568097062973878 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-52590 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2024-52590 · Aviso do Fabricante