FICHE CVE

CVE-2026-72916

Publiée le 2026-08-10 · Dernière modification le 2026-08-13

🇫🇷 EN BREF

Les serveurs Mastodon utilisant des versions antérieures à 4.4.21, 4.5.14, 4.6.4 ou 4.7.0-beta.1 sont susceptibles d'être victimes d'une attaque par falsification de requête côté serveur (SSRF). Un attaquant distant non authentifié peut contourner les filtres d'adresses privées pour forcer le serveur à envoyer des requêtes HTTP vers sa propre interface de boucle locale (loopback), exposant potentiellement des services internes. Cette attaque est difficile à exécuter car elle nécessite que le système sous-jacent prenne en charge un mécanisme d'adressage IPv6 obsolète.

CVSS 4.06.3 MOYENNE

Type de faiblesse

Falsification de requête côté serveur (SSRF) · CWE-918 CWE-1286

Publiée2026-08-10

Dernière modification2026-08-13

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueÉlevée

Prérequis d'attaquePrésent

Privilèges requisAucun

Interaction utilisateurAucune

Confidentialité (système vulnérable)Aucune

Intégrité (système vulnérable)Aucune

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Faible

Intégrité (système subséquent)Faible

Disponibilité (système subséquent)Faible

RÉFÉRENCES

Description officielle du NVD (en anglais)

Mastodon is a free, open-source social network server based on ActivityPub. Prior to 4.4.21, 4.5.14, 4.6.4, and 4.7.0-beta.1, PrivateAddressCheck.private_address? in app/lib/private_address_check.rb normalized IPv4-mapped IPv6 addresses but did not recognize IPv4-compatible IPv6 addresses with IPAddr#ipv4_compat?. An attacker could supply an address in the omitted range to bypass the ALLOWED_PRIVATE_ADDRESSES protection and make Mastodon send HTTP requests to loopback interfaces, potentially accessing private resources and services. Exploitation requires a system that supports the obsolete IPv4-compatible IPv6 mechanism. This issue is fixed in versions 4.4.21, 4.5.14, 4.6.4, and 4.7.0-beta.1.