جزئیات آسیب‌پذیری
CVE-2026-104817
misskey-dev misskey
Misskey: Lack of rate limiting and size restrictions in RSS fetching API
CVSS 4.0
8.7بالا
شرح رسمی (انگلیسی)
Misskey is an open source, federated social media platform. From 12.112.1 until 2026.7.0, the unauthenticated fetch-rss API lacks rate limiting and response-size restrictions and performs synchronous XML parsing. An attacker can trigger unbounded outbound HTTP requests and synchronous parsing, exhausting instance resources, amplifying requests toward third-party servers, or probing network-reachable services even when federation is disabled. This issue is fixed in version 2026.7.0.
امتیازهای CVSS
| امتیاز | نسخه | منبع | بردار |
|---|---|---|---|
| 8.7بالا | 4.0 | CVEProject cvelistV5 (CNA) (GitHub_M) | CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:L/SI:N/SA:L |
محصولات آسیب‌پذیر
| فروشنده | محصول | نسخه‌ها | منبع |
|---|---|---|---|
| misskey-dev | misskey | >= 12.0.0, <= 13.14.2 | CVEProject cvelistV5 (CNA) |
| misskey-dev | misskey | >= 2023.9.0-beta.1, < 2026.7.0 | CVEProject cvelistV5 (CNA) |
منابع و راهنماها
۳- https://github.com/misskey-dev/misskey/security/advisories/GHSA-4x7v-qx8f-g3p8 x_refsource_CONFIRM
- https://github.com/misskey-dev/misskey/commit/a12ee2e5d72c40252e11a164b2231667c9697667 x_refsource_MISC
- https://github.com/misskey-dev/misskey/releases/tag/2026.7.0 x_refsource_MISC
کانال تلگرام کُلون @kolunsec_fa
تازه‌های KEV، خبرهای مهم و خلاصه‌ی روزانه
هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.
اطلاعات
- تاریخ انتشار
- ۱۴۰۵/۰۷/۲۱
- آخرین به‌روزرسانی
- ۱۴۰۵/۰۷/۲۱
- وضعیت
- منتشرشده
- صادرکننده (CNA)
- GitHub_M
پیش‌بینی بهره‌برداری (EPSS)
۰٫۴۶٪
احتمال بهره‌برداری در ۳۰ روز
۳۹٫۹٪
صدک (نسبت به همه‌ی CVEها)
ارزیابی SSVC (CISA)
- قابل خودکارسازی
- بله
- وضعیت بهره‌برداری
- ندارد
- اثر فنی
- جزئی
ضعف‌ها (CWE)
- CWE-405Asymmetric Resource Consumption (Amplification)
- CWE-770Allocation of Resources Without Limits or Throttling
- CWE-918Server-Side Request Forgery (SSRF)