Vulnerabilidad en Mastodon (CVE-2026-25540)
Gravedad CVSS v3.1:
MEDIA
Tipo:
No Disponible / Otro tipo
Fecha de publicación:
04/02/2026
Última modificación:
20/02/2026
Descripción
Mastodon es un servidor de red social gratuito, de código abierto, basado en ActivityPub. Antes de las versiones 4.3.19, 4.4.13, 4.5.6, Mastodon es vulnerable al envenenamiento de caché web a través de 'Rails.cache'. Cuando AUTHORIZED_FETCH está habilitado, los puntos finales de ActivityPub para publicaciones fijadas y hashtags destacados tienen contenidos que dependen de la cuenta que firmó la solicitud HTTP. Sin embargo, estos contenidos se almacenan en una caché interna y se reutilizan sin tener en cuenta al actor firmante. Como resultado, una respuesta vacía generada para una cuenta de usuario bloqueada puede ser servida a solicitudes de actores legítimos no bloqueados, o, a la inversa, contenido destinado a actores no bloqueados puede ser devuelto a actores bloqueados. Este problema ha sido parcheado en las versiones 4.3.19, 4.4.13, 4.5.6.
Impacto
Puntuación base 3.x
6.50
Gravedad 3.x
MEDIA
Productos y versiones vulnerables
| CPE | Desde | Hasta |
|---|---|---|
| cpe:2.3:a:joinmastodon:mastodon:*:*:*:*:*:*:*:* | 4.3.19 (excluyendo) | |
| cpe:2.3:a:joinmastodon:mastodon:*:*:*:*:*:*:*:* | 4.4.0 (incluyendo) | 4.4.13 (excluyendo) |
| cpe:2.3:a:joinmastodon:mastodon:*:*:*:*:*:*:*:* | 4.5.0 (incluyendo) | 4.5.6 (excluyendo) |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página