Vulnerabilidad en Mastodon (CVE-2025-62176)
Gravedad CVSS v3.1:
MEDIA
Tipo:
No Disponible / Otro tipo
Fecha de publicación:
13/10/2025
Última modificación:
19/10/2026
Descripción
Mastodon es un servidor de red social gratuito y de código abierto basado en ActivityPub. En Mastodon antes de 4.4.6, 4.3.14 y 4.2.27, el servidor de streaming acepta servir eventos para líneas de tiempo públicas a clientes usando cualquier token de autenticación válido, incluso si esos tokens carecen del alcance read:statuses. Esto permite a los clientes OAuth sin el alcance de lectura suscribirse a canales públicos y recibir eventos de líneas de tiempo públicas. El impacto es limitado, ya que esto solo afecta a las nuevas publicaciones públicas en las líneas de tiempo públicas y requiere un token válido de otra manera, pero esto puede llevar a un acceso inesperado a publicaciones públicas en un entorno de federación limitada. Este problema ha sido parcheado en las versiones 4.4.6, 4.3.14 y 4.2.27. No existen soluciones alternativas conocidas.
Impacto
Puntuación base 3.x
4.30
Gravedad 3.x
MEDIA
Productos y versiones vulnerables
| CPE | Desde | Hasta |
|---|---|---|
| cpe:2.3:a:joinmastodon:mastodon:*:*:*:*:*:*:*:* | 4.2.27 (excluyendo) | |
| cpe:2.3:a:joinmastodon:mastodon:*:*:*:*:*:*:*:* | 4.3.0 (incluyendo) | 4.3.14 (excluyendo) |
| cpe:2.3:a:joinmastodon:mastodon:*:*:*:*:*:*:*:* | 4.4.0 (incluyendo) | 4.4.6 (excluyendo) |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página