CVE-2023-52139

漏洞描述

Misskey是一个开源的去中心化社交媒体平台。第三方应用程序可能会访问某些端点或Websocket API，这些端点或API被错误地指定为种类或安全类型，而无需用户的许可就可以执行操作，例如读取或添加非公开内容。因此，如果认证应用程序的用户是管理员，机密信息如对象存储密钥和SMTP服务器密码可能会被泄露，普通用户也可能未经授权创建邀请代码并泄露非公开的用户信息。该漏洞已在版本2023.12.1中修复。

安全风险CVSS等级评估

基础分数	风险等级	可利用性评分
9.6	CRITICAL	CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:N
9.0	CRITICAL	CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:H

细节文章

CVSS scores for CVE-2023-52139:https://github.com/misskey-dev/misskey/commit/c96bc36fedc804dc840ea791a9355d7df0748e64
CWE ids for CVE-2023-52139:https://github.com/misskey-dev/misskey/security/advisories/GHSA-7pxq-6xx9-xpgm