🇰🇷 한글 설명
오픈 소스 연합형 소셜 미디어 플랫폼인 Misskey의 특정 버전에서 권한 검사 미흡으로 인해 발생하는 취약점입니다. 공격자는 계정 권한과 관계없이 다이렉트 메시지(DM) 기능의 특정 데이터에 접근할 수 있습니다. 이 문제는 연합 기능 활성화 여부와 상관없이 발생하며, 2026.5.4 버전에서 수정되었습니다.
💡 쉬운 설명
Misskey 서비스에서 권한이 없는 사용자가 다른 사람의 개인 메시지 내용을 몰래 볼 수 있는 보안 결함이 발견되었습니다. 이 문제는 메시지 공개 설정이 '지정됨'인 경우에는 영향을 받지 않습니다.
🇺🇸 원문 (English)
Misskey is an open source, federated social media platform. Versions 2025.3.2 and later, but prior to 2026.5.4, contain a vulnerability where a lack of proper permission checks allows access to certain data points from the Direct Messages (formerly Chat) feature, regardless of account permissions. This vulnerability occurs whether or not federation is enabled. Notes created with "specified" visibility (formerly "direct" visibility) are not affected. This issue has been fixed in version 2026.5.4.
📍 영향받는 시스템
Misskey 2025.3.2 버전 이상 ~ 2026.5.4 미만 버전
⚔️ 공격 벡터
권한 검사 로직을 우회하여 다이렉트 메시지(DM) 데이터 포인트에 직접 접근
🛡️ 대응 방법
Misskey를 최신 보안 패치가 적용된 2026.5.4 버전 이상으로 업데이트
🔧 검증 코드
명령어 실행 결과로 2026.5.4 이상의 버전 번호가 출력되면 취약점이 해결된 상태입니다.
curl -s http://<your-misskey-instance>/api/v1/version | grep -E '2026.5.4'