Vulnerabilidad en Misskey (CVE-2025-46340)

Misskey es una plataforma de redes sociales federada de código abierto. A partir de la versión 12.0.0 y anteriores a la 2025.4.1, debido a un descuido en la validación de `UrlPreviewService` y `MkUrlPreview`, un atacante puede inyectar CSS arbitrario en el componente `MkUrlPreview`. `UrlPreviewService.wrap` recurre a la URL original si utiliza un protocolo que probablemente Misskey no entienda, es decir, algo distinto de `http` o `https`. Esto puede desanonimizar a los usuarios y permitir futuros ataques en el cliente. Además, `MkUrlPreview` no escapa el CSS al aplicar la propiedad `background-image`, lo que permite a un atacante manipular una URL que aplique estilos arbitrarios al elemento de vista previa. En teoría, un atacante puede crear un payload de inyección de CSS para manipular un mensaje de error falso que pueda engañar al usuario para que revele sus credenciales o información confidencial similar. La versión 2025.4.1 contiene un parche para el problema.