PT-2024-35389 · Misskey · Misskey
Warriordog
·
Publicado
2024-12-18
·
Atualizado
2025-11-26
·
CVE-2024-52592
CVSS v4.0
6.9
Média
| Vetor | AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N |
Nome do software vulnerável e versões afetadas
Versões do Misskey anteriores à 2024.11.0-alpha.3
Descrição
O Misskey é uma plataforma de mídia social federada de código aberto. Nas versões afetadas, a falta de validação em
ApInboxService.update permite que um invasor modifique o resultado de enquetes pertencentes a outro usuário. Não é necessária autenticação, exceto por uma assinatura válida de qualquer agente em qualquer instância remota. As instâncias vulneráveis do Misskey aceitarão atualizações falsificadas para enquetes remotas. As enquetes locais não são afetadas.Recomendações
Para versões anteriores à 2024.11.0-alpha.3, atualize para a versão 2024.11.0-alpha.3 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso à função
ApInboxService.update até que um patch esteja disponível. Evite aceitar atualizações para enquetes remotas de fontes não confiáveis até que o problema seja resolvido.Exploit
Correção
RCE
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Misskey