Vulnerabilidad en Mastodon (CVE-2025-62175)
Gravedad CVSS v3.1:
MEDIA
Tipo:
No Disponible / Otro tipo
Fecha de publicación:
13/10/2025
Última modificación:
19/10/2026
Descripción
Mastodon es un servidor de red social gratuito y de código abierto basado en ActivityPub. En versiones anteriores a la 4.4.6, 4.3.14 y 4.2.27, deshabilitar o suspender una cuenta de usuario no desconecta la cuenta de la API de streaming. Esto permite que las cuentas deshabilitadas o suspendidas continúen recibiendo actualizaciones en tiempo real a través de conexiones de streaming existentes y establezcan nuevas conexiones de streaming, a pesar de que no pueden interactuar con otros puntos finales de la API. Esto socava las acciones de moderación, ya que los administradores esperan que las cuentas deshabilitadas o suspendidas estén completamente desconectadas del servicio. Este problema ha sido parcheado en las versiones 4.4.6, 4.3.14 y 4.2.27. No existen soluciones alternativas conocidas.
Impacto
Puntuación base 3.x
4.30
Gravedad 3.x
MEDIA
Productos y versiones vulnerables
| CPE | Desde | Hasta |
|---|---|---|
| cpe:2.3:a:joinmastodon:mastodon:*:*:*:*:*:*:*:* | 4.2.27 (excluyendo) | |
| cpe:2.3:a:joinmastodon:mastodon:*:*:*:*:*:*:*:* | 4.3.0 (incluyendo) | 4.3.14 (excluyendo) |
| cpe:2.3:a:joinmastodon:mastodon:*:*:*:*:*:*:*:* | 4.4.0 (incluyendo) | 4.4.6 (excluyendo) |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página