Vulnerabilidad en Mastodon (CVE-2025-62174)
Gravedad CVSS v3.1:
BAJA
Tipo:
No Disponible / Otro tipo
Fecha de publicación:
13/10/2025
Última modificación:
19/10/2026
Descripción
Mastodon es un servidor de red social gratuito, de código abierto, basado en ActivityPub. En Mastodon antes de las versiones 4.4.6, 4.3.14 y 4.2.27, cuando un administrador restablece la contraseña de una cuenta de usuario a través de la interfaz de línea de comandos usando 'bin/tootctl accounts modify --reset-password', las sesiones activas y los tokens de acceso para esa cuenta no son revocados. Esto permite a un atacante con acceso a una sesión o token previamente comprometido continuar usando la cuenta después de que la contraseña haya sido restablecida. Este problema ha sido parcheado en las versiones 4.2.27, 4.3.14 y 4.4.6. No existen soluciones alternativas conocidas.
Impacto
Puntuación base 3.x
3.50
Gravedad 3.x
BAJA
Productos y versiones vulnerables
| CPE | Desde | Hasta |
|---|---|---|
| cpe:2.3:a:joinmastodon:mastodon:*:*:*:*:*:*:*:* | 4.2.27 (excluyendo) | |
| cpe:2.3:a:joinmastodon:mastodon:*:*:*:*:*:*:*:* | 4.3.0 (incluyendo) | 4.3.14 (excluyendo) |
| cpe:2.3:a:joinmastodon:mastodon:*:*:*:*:*:*:*:* | 4.4.0 (incluyendo) | 4.4.6 (excluyendo) |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página