CVE-2023-52139
Publiée le 2023-12-29 · Dernière modification le 2026-06-17
Les instances Misskey sont affectées par une faille permettant à des applications tierces de contourner les vérifications de permissions pour accéder à des points de terminaison d'API restreints. Un attaquant peut utiliser une application malveillante pour voler des données utilisateur privées ou, si un administrateur autorise l'application, divulguer des secrets serveurs sensibles tels que des mots de passe SMTP et des clés de stockage. Cela nécessite qu'un utilisateur authentifie une application malveillante, mais une fois cela fait, l'attaque peut être exécutée à distance avec une faible complexité.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Misskey is an open source, decentralized social media platform. Third-party applications may be able to access some endpoints or Websocket APIs that are incorrectly specified as [kind](https://github.com/misskey-dev/misskey/blob/406b4bdbe79b5b0b68fcdcb3c4b6e419460a0258/packages/backend/src/server/api/endpoints.ts#L811) or [secure](https://github.com/misskey-dev/misskey/blob/406b4bdbe79b5b0b68fcdcb3c4b6e419460a0258/packages/backend/src/server/api/endpoints.ts#L805) without the user's permission and perform operations such as reading or adding non-public content. As a result, if the user who authenticated the application is an administrator, confidential information such as object storage secret keys and SMTP server passwords will be leaked, and general users can also create invitation codes without permission and leak non-public user information. This is patched in version [2023.12.1](https://github.com/misskey-dev/misskey/commit/c96bc36fedc804dc840ea791a9355d7df0748e64).