JVNDB-2026-002520

joinmastodonのMastodonにおける不正な認証に関する脆弱性

MastodonはActivityPubに基づく無料のオープンソースのソーシャルネットワークサーバーです。Mastodonはサーバー管理者がリモートユーザーを一時停止して相互作用を防ぐことを可能にします。しかし、一部の論理エラーにより、一時停止されたユーザーの既に知られている投稿がブーストされた場合にタイムラインに表示されることがあります。さらに、特定の状況下では、一時停止されたユーザーの以前に知られていなかった投稿が処理されることがあります。この問題により、一時停止されたユーザーの古い投稿がすべてのMastodonバージョンで時折タイムラインに表示される可能性があります。さらに、Mastodonのバージョンv4.5.0からv4.5.4、v4.4.5からv4.4.11、v4.3.13からv4.3.17、およびv4.2.26からv4.2.29では、リモートで一時停止されたユーザーが一時停止を部分的に回避して新しい投稿を取得できる可能性があります。この問題は、Mastodonのバージョンv4.5.5、v4.4.12、v4.3.18で修正されています。

joinmastodon

• Mastodon 4.3.18 未満
• Mastodon 4.4.0 以上 4.4.12 未満
• Mastodon 4.5.0 以上 4.5.5 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub Advisory Database : Remote suspension bypass  Advisory  mastodon/mastodon  GitHub

1. 不正な認証(CWE-863) [その他]

1. CVE-2026-23961

1. National Vulnerability Database (NVD) : CVE-2026-23961
2. 関連文書 : Release v4.4.12  mastodon/mastodon  GitHub
3. 関連文書 : Release v4.5.5  mastodon/mastodon  GitHub
4. 関連文書 : Release v4.3.18  mastodon/mastodon  GitHub

• [2026年02月04日]
    掲載