CVE-2026-33868 CVSS 4.3 中危

CVE-2026-33868 Mastodon开放重定向漏洞

披露日期: 2026-03-27

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-33868

漏洞类型

开放重定向

CVSS评分

4.3 中危

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

需要交互 (UI:R)

影响产品

Mastodon

漏洞概述

Mastodon是基于ActivityPub的开源社交网络服务器。在4.5.8、4.4.15和4.3.21之前的版本中，由于`/web/*`路由对URL编码路径段处理不当，存在一个未认证的开放重定向漏洞（CWE-601）。攻击者可利用URL编码的斜杠（%2F）绕过Rails路径规范化，诱导用户重定向至恶意外部域名，从而实施网络钓鱼或窃取OAuth凭据。

技术细节

该漏洞核心在于Mastodon后端对`/web/*`路径的处理逻辑存在缺陷。在Rails框架中，URL路径通常会经过规范化处理，以防止目录遍历或路径混淆。然而，Mastodon在特定版本中未能正确处理经过URL编码的斜杠字符（%2F）。当攻击者构造类似`/web/https:%2F%2Fevil.com`的请求时，服务器端的路径解析器未能将`%2F`视为单纯的路径字符，而是将其解码为实际的路径分隔符。这种行为绕过了Rails标准的安全检查机制，导致应用程序将后续部分解析为外部域名。由于该漏洞无需身份认证即可触发（CVSS向量PR:N），且属于开放重定向（CWE-601），攻击者可轻易利用这一点构建钓鱼链接。当受害者点击链接时，浏览器地址栏可能短暂显示受信任的Mastodon域名，随后被重定向至恶意站点，从而窃取用户的登录凭证或OAuth授权令牌。

攻击链分析

STEP 1

1. 构造恶意链接

攻击者利用Mastodon的漏洞，构造包含URL编码斜杠（%2F）的特制URL（如 /web/https:%2F%2Fevil.com），旨在绕过Rails路径规范化检查。

STEP 2

2. 诱骗用户点击

攻击者通过网络钓鱼邮件、社交媒体私信等方式，将恶意链接发送给目标用户，诱导其点击。

STEP 3

3. 触发重定向

当用户点击链接时，浏览器向Mastodon服务器发送请求。服务器解析路径时未能正确过滤%2F，将其解释为路径分隔符，从而触发重定向逻辑。

STEP 4

4. 执行攻击

用户浏览器跟随重定向指令跳转至攻击者控制的恶意网站（evil.com），攻击者在此页面模拟登录界面以窃取用户凭据或OAuth令牌。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

# Conceptual PoC for CVE-2026-33868
# The vulnerability allows an open redirect via URL encoded slashes in the /web/* path.

import requests

target_url = "https://target-mastodon-instance.com"
# Using %2F to bypass path normalization and trigger a redirect to evil.com
malicious_payload = "/web/https:%2F%2Fevil.com"

full_url = target_url + malicious_payload

try:
    response = requests.get(full_url, allow_redirects=False)
    if response.status_code in [301, 302, 303, 307, 308]:
        print(f"[+] Vulnerability Detected!")
        print(f"[+] Status Code: {response.status_code}")
        print(f"[+] Location Header: {response.headers.get('Location')}")
    else:
        print("[-] Redirect not triggered or patch applied.")
except Exception as e:
    print(f"Error: {e}")

影响范围

Mastodon < 4.5.8

Mastodon < 4.4.15

Mastodon < 4.3.21

防御指南

临时缓解措施

建议管理员尽快检查Mastodon实例版本，若受影响应立即应用官方补丁进行升级。在升级前，可考虑在反向代理层面（如Nginx或Apache）对入站请求的URL进行规范化处理，拦截包含异常编码字符（如路径中的%2F）的请求，或严格限制重定向的目标地址必须在白名单域名内，以降低被利用的风险。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表