FICHE CVE

CVE-2026-41259

Publiée le 2026-04-23 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les serveurs Mastodon utilisant des versions antérieures à la v4.5.9, v4.4.16 ou v4.3.22 sont affectés par une faille dans la validation des adresses e-mail lors de l'inscription. Un attaquant peut contourner les restrictions d'inscription basées sur le domaine en utilisant des caractères spécifiques qui induisent les serveurs de messagerie en erreur, lui permettant ainsi de créer des comptes avec des domaines e-mail non autorisés. Cette opération peut être effectuée via le réseau sans authentification préalable ni interaction de l'utilisateur.

CVSS 4.08.2 ÉLEVÉE

Type de faiblesse

CWE-841

Publiée2026-04-23

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaquePrésent

Privilèges requisAucun

Interaction utilisateurAucune

Confidentialité (système vulnérable)Aucune

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

security-advisories@github.com

Description officielle du NVD (en anglais)

Mastodon is a free, open-source social network server based on ActivityPub. Prior to v4.5.9, v4.4.16, and v4.3.22, Mastodon allows restricting new user sign-up based on e-mail domain names, and performs basic validation on e-mail addresses, but fails to restrict characters that are interpreted differently by some mailing servers. This vulnerability is fixed in v4.5.9, v4.4.16, and v4.3.22.