検索

もちもちずきん🍆
public
【OSC京都で #Fediverse :fediverse: に関連したセミナーを開催します！】 本日の13:00〜 オープンソースカンファレンス京都 #osckyoto で「分散型SNSユーザー有志」として、 「Fediverseのつくりかた 〜開発者・管理者たちの現場から〜」 と題してセミナー講演を行います！ 登壇者として私のほか、 #fedibird :fedibird1: 運営者の @[email protected] さん #Fedify :fedify: #Hollo :hollo: 等の開発者である @[email protected] さん 京都のMastodon地域サーバー #マストどす 管理人の @[email protected] さん をお呼びして開催します。 ActivityPubを中心としたFediverseの今が知れるセミナーです。ぜひご参加ください！ 東海道らぐさんのセミナーのオンラインURLでの同時配信もします！！ https://tokaidolug.connpass.com/event/361666/ 会場：KRP ルーム2B（2階） 日時：2025年8月3日（日）13:00〜 参加費：無料 セミナー詳細： https://event.ospn.jp/osc2025-kyoto/session/2211664
返信 0 · Renote 1
Hollo
public

返信元:

Hollo
public
안녕하세요! :hollo: Hollo의 새로운 계획에 대해 여러분의 의견을 듣고자 합니다. 지금까지 Hollo는 셀프 호스팅을 기본 원칙으로 삼아왔습니다. 이는 앞으로도 변함없이 유지될 것이며, 소스 코드는 계속해서 AGPLv3 라이선스로 공개됩니다. 최근 저희는 프로젝트의 지속 가능한 발전을 위해, Open Collective(@[email protected])를 통해 일정 금액 이상을 정기적으로 후원해 주시는 분들을 위한 호스팅 서비스 제공을 검토하고 있습니다. 이는 기술적인 부분에 신경 쓰지 않고도 Hollo를 이용하고 싶으신 분들을 위한 추가 옵션이 될 것입니다. 물론 지금처럼 직접 설치하고 운영하시는 것도 계속 가능합니다. 아래 인용된 영어 게시물의 투표에 참여해 주시면 감사하겠습니다! 📊 좋은 생각입니다! 호스팅 서비스를 이용하고 싶어요. 괜찮네요! 전 셀프 호스팅을 계속하지만 응원합니다. 다른 방식으로 후원을 늘리는 게 좋겠어요. 현재처럼 순수 셀프 호스팅으로 남았으면 좋겠어요. 💭 추가 의견이나 제안이 있으시다면 댓글로 남겨주세요! #Hollo #설문조사 #투표 #페디버스 #연합우주 https://hollo.social/@hollo/01950344-1c55-7f43-8afc-b0a1ee8b4abf
返信 1 · Renote 0
みなさん、こんにちは！ :hollo: Holloの新しい計画について、みなさんのご意見をお聞かせください。 これまでHolloは、セルフホスティングを基本原則としてきました。これは今後も変わることなく維持され、ソースコードは引き続きAGPLv3ライセンスで公開されます。 最近、プロジェクトの持続可能な発展のため、Open Collective （@[email protected] ）を通じて一定額以上を定期的にご支援いただいている方々向けに、ホスティングサービスの提供を検討しています。 これは、技術的な部分を気にすることなくHolloを利用したい方のための追加オプションとなります。もちろん、現在のように自身でインストールして運用することも引き続き可能です。 引用させていただいた英語の投稿のアンケートにご参加ください！📊 良いアイデアです！ホスティングサービスを利用したいです。 いいですね！私はセルフホスティングを続けますが、応援しています。 他の方法でサポートを増やすのが良いと思います。 現状通り純粋なセルフホスティングのままが良いです。 💭 追加のご意見やご提案がございましたら、コメントでお寄せください！ #Hollo #アンケート #フェディバース https://hollo.social/@hollo/01950344-1c55-7f43-8afc-b0a1ee8b4abf
Hollo
public
#Hollo everyone! :hollo: We'd like to hear your thoughts on something we've been considering. As you know, Hollo has always been focused on self-hosting—this won't change, and our source code will continue to be available under the AGPLv3 license. We're exploring ways to make the project more sustainable, and we're considering offering a hosting service for those who regularly support us with a certain amount through @[email protected]. This would be an additional option for those who want to use Hollo without managing the technical aspects themselves. Of course, you'll still be able to self-host just like you do now. What are your thoughts on this idea? Please vote below! 📊 💭 Have additional thoughts or suggestions? Feel free to share them in the comments! #poll #fediverse

投票

  • 1️⃣ Great idea! I'd be interested in supporting and using the hosted service.: 0票
  • 2️⃣ Sounds good! I'll stick to self-hosting but support the initiative.: 0票
  • 3️⃣ I think we should explore other ways to increase support.: 0票
  • 4️⃣ I prefer Hollo to remain purely self-hosted.: 0票
返信 1 · Renote 0
返信 0 · Renote 1
Hollo
public

返信元:

Hollo
public
#Hollo everyone! :hollo: We'd like to hear your thoughts on something we've been considering. As you know, Hollo has always been focused on self-hosting—this won't change, and our source code will continue to be available under the AGPLv3 license. We're exploring ways to make the project more sustainable, and we're considering offering a hosting service for those who regularly support us with a certain amount through @[email protected]. This would be an additional option for those who want to use Hollo without managing the technical aspects themselves. Of course, you'll still be able to self-host just like you do now. What are your thoughts on this idea? Please vote below! 📊 💭 Have additional thoughts or suggestions? Feel free to share them in the comments! #poll #fediverse
返信 1 · Renote 0
안녕하세요! :hollo: Hollo의 새로운 계획에 대해 여러분의 의견을 듣고자 합니다. 지금까지 Hollo는 셀프 호스팅을 기본 원칙으로 삼아왔습니다. 이는 앞으로도 변함없이 유지될 것이며, 소스 코드는 계속해서 AGPLv3 라이선스로 공개됩니다. 최근 저희는 프로젝트의 지속 가능한 발전을 위해, Open Collective(@[email protected])를 통해 일정 금액 이상을 정기적으로 후원해 주시는 분들을 위한 호스팅 서비스 제공을 검토하고 있습니다. 이는 기술적인 부분에 신경 쓰지 않고도 Hollo를 이용하고 싶으신 분들을 위한 추가 옵션이 될 것입니다. 물론 지금처럼 직접 설치하고 운영하시는 것도 계속 가능합니다. 아래 인용된 영어 게시물의 투표에 참여해 주시면 감사하겠습니다! 📊 좋은 생각입니다! 호스팅 서비스를 이용하고 싶어요. 괜찮네요! 전 셀프 호스팅을 계속하지만 응원합니다. 다른 방식으로 후원을 늘리는 게 좋겠어요. 현재처럼 순수 셀프 호스팅으로 남았으면 좋겠어요. 💭 추가 의견이나 제안이 있으시다면 댓글로 남겨주세요! #Hollo #설문조사 #투표 #페디버스 #연합우주 https://hollo.social/@hollo/01950344-1c55-7f43-8afc-b0a1ee8b4abf
Hollo
public
#Hollo everyone! :hollo: We'd like to hear your thoughts on something we've been considering. As you know, Hollo has always been focused on self-hosting—this won't change, and our source code will continue to be available under the AGPLv3 license. We're exploring ways to make the project more sustainable, and we're considering offering a hosting service for those who regularly support us with a certain amount through @[email protected]. This would be an additional option for those who want to use Hollo without managing the technical aspects themselves. Of course, you'll still be able to self-host just like you do now. What are your thoughts on this idea? Please vote below! 📊 💭 Have additional thoughts or suggestions? Feel free to share them in the comments! #poll #fediverse

投票

  • 1️⃣ Great idea! I'd be interested in supporting and using the hosted service.: 0票
  • 2️⃣ Sounds good! I'll stick to self-hosting but support the initiative.: 0票
  • 3️⃣ I think we should explore other ways to increase support.: 0票
  • 4️⃣ I prefer Hollo to remain purely self-hosted.: 0票
返信 1 · Renote 0
返信 1 · Renote 0
Hollo
public
#Hollo everyone! :hollo: We'd like to hear your thoughts on something we've been considering. As you know, Hollo has always been focused on self-hosting—this won't change, and our source code will continue to be available under the AGPLv3 license. We're exploring ways to make the project more sustainable, and we're considering offering a hosting service for those who regularly support us with a certain amount through @[email protected]. This would be an additional option for those who want to use Hollo without managing the technical aspects themselves. Of course, you'll still be able to self-host just like you do now. What are your thoughts on this idea? Please vote below! 📊 💭 Have additional thoughts or suggestions? Feel free to share them in the comments! #poll #fediverse

投票

  • 1️⃣ Great idea! I'd be interested in supporting and using the hosted service.: 0票
  • 2️⃣ Sounds good! I'll stick to self-hosting but support the initiative.: 0票
  • 3️⃣ I think we should explore other ways to increase support.: 0票
  • 4️⃣ I prefer Hollo to remain purely self-hosted.: 0票
返信 1 · Renote 0
Hollo
public

返信元:

Hollo
public
#Hollo 0.5.0이 릴리스되었습니다! 이번 업데이트는 여러분의 Hollo 사용 경험을 더욱 개선하는 다양한 변화를 담고 있습니다. 게시물의 공유 수와 좋아요 수를 더 정확하게 집계하도록 개선했습니다. 이제 각 게시물의 공유 수와 좋아요 수가 정확하게 유지되며, 다른 서버로 공유되었을 때도 이 수치가 올바르게 보존됩니다. @[email protected] 님의 기여로 프로필 페이지가 크게 개선되었습니다:

이전 게시물뿐 아니라 최신 게시물로도 이동할 수 있는 페이지네이션
대체 텍스트를 활용한 이미지 접근성 개선
화면 크기가 작아져도 커스텀 필드가 잘 표시되도록 수정


이 밖에도 시스템의 라이트·다크 모드에 따라 파비콘이 자동으로 전환되며, 새로운 ALLOW_HTML 환경 변수로 Markdown 안에 HTML 사용이 가능해졌습니다(보안을 위해 허용되는 HTML 요소는 제한됩니다).

또한 뮤트와 차단 목록을 위한 API 엔드포인트를 추가하여 Mastodon API 호환성을 강화했습니다.

S3를 사용하시는 분들은 이제 S3_REGION 환경 변수 설정이 필수가 되었으니 참고해 주시기 바랍니다.

0.5.0으로 업데이트하는 방법:

Docker 사용자: docker pull ghcr.io/fedify-dev/hollo:0.5.0
수동 설치 사용자: git pull origin stable 후 pnpm install Railway 사용자: Railway 대시보드에서 서비스 재배포 전체 변경 사항: https://github.com/fedify-dev/hollo/releases/tag/0.5.0.
返信 1 · Renote 0
#Hollo 0.5.0をリリースしました！今回のアップデートでは、皆様のHollo体験をより良くする様々な改善が含まれています。 投稿のシェア数といいね数の集計がより正確になりました。各投稿のシェア数といいね数が正確に維持され、他のサーバーでシェアされた場合でもこれらの数値が適切に保持されるようになりました。 @[email protected] さんの貢献により、プロフィールページが大幅に改善されました：

新しい投稿へ移動できる逆方向のページネーション機能を追加
alt属性を活用した画像のアクセシビリティ向上
画面サイズが小さくなってもカスタムフィールドが正しく表示されるように修正


その他、システムのライト/ダークモードに応じてファビコンが自動的に切り替わるようになり、新しいALLOW_HTML環境変数でMarkdown内でのHTML使用が可能になりました。（セキュリティのため、使用可能なHTML要素は制限されています）

また、ミュートとブロックリストのためのAPIエンドポイントを追加し、Mastodon APIとの互換性を強化しました。

S3をご利用の方は、S3_REGION環境変数の設定が必須となりましたのでご注意ください。

0.5.0へのアップデート方法：

Dockerをご利用の場合：docker pull ghcr.io/fedify-dev/hollo:0.5.0
手動インストールの場合：git pull origin stableの後pnpm installを実行 Railwayをご利用の場合：Railwayダッシュボードからサービスを再デプロイ 変更の詳細：https://github.com/fedify-dev/hollo/releases/tag/0.5.0.
返信 0 · Renote 1
Hollo
public

返信元:

Hollo
public
#Hollo 0.5.0 has been released! This update brings several improvements to make your Hollo experience even better. We've enhanced the accuracy of sharing and liking counts, giving you a clearer picture of post engagement. Posts now maintain precise counts of shares and likes, which persist even when shared across different servers. Thanks to contributions from @[email protected], the profile page has received several enhancements:

You can now navigate to newer posts with backward pagination
Images are more accessible with improved alt text handling
Custom fields display better on smaller screens


The favicon now automatically adapts to your light/dark mode preference, and you can enable raw HTML in Markdown using the new ALLOW_HTML environment variable (with secure limitations on allowed HTML elements).

We've also expanded our Mastodon API compatibility by adding endpoints for muted and blocked accounts, making it easier to manage your social boundaries.

Important note for S3 users: The S3_REGION environment variable is now required when using S3 storage.

To update to 0.5.0:

Docker users: docker pull ghcr.io/fedify-dev/hollo:0.5.0
Manual installation: git pull origin stable and pnpm install Railway users: Redeploy your service from the Railway dashboard Full changelog: https://github.com/fedify-dev/hollo/releases/tag/0.5.0.
返信 1 · Renote 0
#Hollo 0.5.0이 릴리스되었습니다! 이번 업데이트는 여러분의 Hollo 사용 경험을 더욱 개선하는 다양한 변화를 담고 있습니다. 게시물의 공유 수와 좋아요 수를 더 정확하게 집계하도록 개선했습니다. 이제 각 게시물의 공유 수와 좋아요 수가 정확하게 유지되며, 다른 서버로 공유되었을 때도 이 수치가 올바르게 보존됩니다. @[email protected] 님의 기여로 프로필 페이지가 크게 개선되었습니다:

이전 게시물뿐 아니라 최신 게시물로도 이동할 수 있는 페이지네이션
대체 텍스트를 활용한 이미지 접근성 개선
화면 크기가 작아져도 커스텀 필드가 잘 표시되도록 수정


이 밖에도 시스템의 라이트·다크 모드에 따라 파비콘이 자동으로 전환되며, 새로운 ALLOW_HTML 환경 변수로 Markdown 안에 HTML 사용이 가능해졌습니다(보안을 위해 허용되는 HTML 요소는 제한됩니다).

또한 뮤트와 차단 목록을 위한 API 엔드포인트를 추가하여 Mastodon API 호환성을 강화했습니다.

S3를 사용하시는 분들은 이제 S3_REGION 환경 변수 설정이 필수가 되었으니 참고해 주시기 바랍니다.

0.5.0으로 업데이트하는 방법:

Docker 사용자: docker pull ghcr.io/fedify-dev/hollo:0.5.0
수동 설치 사용자: git pull origin stable 후 pnpm install Railway 사용자: Railway 대시보드에서 서비스 재배포 전체 변경 사항: https://github.com/fedify-dev/hollo/releases/tag/0.5.0.
返信 1 · Renote 0
Hollo
public
#Hollo 0.5.0 has been released! This update brings several improvements to make your Hollo experience even better. We've enhanced the accuracy of sharing and liking counts, giving you a clearer picture of post engagement. Posts now maintain precise counts of shares and likes, which persist even when shared across different servers. Thanks to contributions from @[email protected], the profile page has received several enhancements:

You can now navigate to newer posts with backward pagination
Images are more accessible with improved alt text handling
Custom fields display better on smaller screens


The favicon now automatically adapts to your light/dark mode preference, and you can enable raw HTML in Markdown using the new ALLOW_HTML environment variable (with secure limitations on allowed HTML elements).

We've also expanded our Mastodon API compatibility by adding endpoints for muted and blocked accounts, making it easier to manage your social boundaries.

Important note for S3 users: The S3_REGION environment variable is now required when using S3 storage.

To update to 0.5.0:

Docker users: docker pull ghcr.io/fedify-dev/hollo:0.5.0
Manual installation: git pull origin stable and pnpm install Railway users: Redeploy your service from the Railway dashboard Full changelog: https://github.com/fedify-dev/hollo/releases/tag/0.5.0.
返信 1 · Renote 0
Hollo
public

返信元:

この件に関連して、Holloもセキュリティアップデートをリリースしました。0.3.6または0.4.4バージョンに今すぐアップデートしてください！ https://hollo.social/@fedify/0194848e-7cac-7af3-941b-c93999a51274 #Hollo #セキュリティ #セキュリティアップデート
Fedify: an ActivityPub server framework
public

返信元:

Fedify: an ActivityPub server framework
public
#Fedify 프레임워크의 #WebFinger 구현에서 발견된 보안 취약점 CVE-2025-23221을 해결하기 위한 보안 업데이트(1.0.14, 1.1.11, 1.2.11, 1.3.4)를 배포했습니다. 모든 사용자께서는 각자 사용 중인 버전에 해당하는 최신 버전으로 즉시 업데이트하시기를 권장합니다.


취약점 내용


보안 연구자가 Fedify의 lookupWebFinger() 함수에서 다음과 같은 보안 문제점들을 발견했습니다: 무한 리다이렉트 루프를 통한 서비스 거부 공격 가능 내부 네트워크 주소로의 리다이렉트를 통한 SSRF (서버측 요청 위조) 공격 가능 리다이렉트 조작을 통한 의도하지 않은 URL 스킴 접근 가능 수정된 버전 1.3.x 시리즈: 1.3.4로 업데이트 1.2.x 시리즈: 1.2.11로 업데이트 1.1.x 시리즈: 1.1.11로 업데이트 1.0.x 시리즈: 1.0.14로 업데이트



변경 사항


이번 보안 업데이트에는 다음과 같은 수정 사항이 포함되어 있습니다:


무한 리다이렉트 루프를 방지하기 위해 최대 리다이렉트 횟수 제한(5회) 도입

원래 요청과 동일한 스킴(HTTP/HTTPS)으로만 리다이렉트 허용하도록 제한

SSRF 공격 방지를 위해 내부 네트워크 주소로의 리다이렉트 차단



업데이트 방법


다음 명령어로 최신 보안 버전으로 업데이트하실 수 있습니다:


# npm 사용자의 경우
npm update @fedify/fedify

# Deno 사용자의 경우
deno add jsr:@fedify/fedify
이 취약점을 책임감 있게 보고해 주신 보안 연구자께 감사드립니다. 덕분에 신속하게 문제를 해결할 수 있었습니다. 이 취약점에 대한 자세한 내용은 보안 권고문을 참고해 주시기 바랍니다. 문의 사항이나 우려 사항이 있으시다면 GitHub Discussions나 Matrix 채팅방, 또는 Discord 서버를 통해 언제든 연락해 주시기 바랍니다. #보안 #보안패치 #취약점 #SSRF
返信 1 · Renote 1
FedifyのWebFinger実装における脆弱性CVE-2025-23221に対するセキュリティアップデート（1.0.14、1.1.11、1.2.11、1.3.4）をリリースいたしました。すべてのユーザー様におかれましては、お使いのバージョンに応じた最新版への速やかなアップデートを推奨いたします。


脆弱性の詳細


セキュリティ研究者により、FedifyのlookupWebFinger()関数において以下のセキュリティ上の問題が発見されました： 無限リダイレクトループによるサービス拒否攻撃（DoS）の可能性 プライベートネットワークアドレスへのリダイレクトを利用したSSRF（サーバーサイドリクエストフォージェリ）攻撃の可能性 リダイレクト操作による意図しないURLスキームへのアクセスの可能性 修正されたバージョン 1.3.xシリーズ：1.3.4へアップデート 1.2.xシリーズ：1.2.11へアップデート 1.1.xシリーズ：1.1.11へアップデート 1.0.xシリーズ：1.0.14へアップデート



変更内容


本セキュリティアップデートでは、以下の修正が実施されました：


無限リダイレクトループを防ぐため、最大リダイレクト回数（5回）の制限を導入

元のリクエストと同じスキーム（HTTP/HTTPS）のみにリダイレクトを制限

SSRFを防止するため、プライベートネットワークアドレスへのリダイレクトをブロック



アップデート方法


以下のコマンドで最新のセキュアバージョンにアップデートできます：


# npmユーザーの場合
npm update @fedify/fedify

# Denoユーザーの場合
deno add jsr:@fedify/fedify
この脆弱性を責任を持って報告していただいたセキュリティ研究者の方に感謝申し上げます。迅速な対応が可能となりました。 本脆弱性の詳細については、セキュリティ勧告をご参照ください。 ご質問やご懸念がございましたら、GitHub Discussions、Matrixチャットスペース、またはDiscordサーバーまでお気軽にご連絡ください。 #Fedify #WebFinger #セキュリティ #脆弱性 #DoS #SSRF
返信 0 · Renote 1
返信 0 · Renote 2
Hollo
public

返信元:

이와 관련하여, #Hollo 역시 #보안 업데이트가 이뤄졌습니다. 0.3.6 또는 0.4.4 버전으로 바로 업데이트하시기 바랍니다! https://hollo.social/@fedify/0194848b-3b9e-7da1-b631-c011db2f4c43
Fedify: an ActivityPub server framework
public

返信元:

Fedify: an ActivityPub server framework
public
We have released #security updates (1.0.14, 1.1.11, 1.2.11, 1.3.4) to address CVE-2025-23221, a #vulnerability in #Fedify's #WebFinger implementation. We recommend all users update to the latest version of their respective release series immediately.


The Vulnerability


A security researcher identified multiple security issues in Fedify's lookupWebFinger() function that could be exploited to: Perform denial of service attacks through infinite redirect loops Execute server-side request forgery (#SSRF) attacks via redirects to private network addresses Access unintended URL schemes through redirect manipulation Fixed Versions 1.3.x series: Update to 1.3.4 1.2.x series: Update to 1.2.11 1.1.x series: Update to 1.1.11 1.0.x series: Update to 1.0.14



Changes


The security updates implement the following fixes:


Added a maximum redirect limit (5) to prevent infinite redirect loops

Restricted redirects to only follow the same scheme as the original request (HTTP/HTTPS)

Blocked redirects to private network addresses to prevent SSRF attacks



How to Update


To update to the latest secure version:


# For npm users
npm update @fedify/fedify

# For Deno users
deno add jsr:@fedify/fedify
We thank the security researcher who responsibly disclosed this vulnerability, allowing us to address these issues promptly. For more details about this vulnerability, please refer to our security advisory. If you have any questions or concerns, please don't hesitate to reach out through our GitHub Discussions, join our Matrix chat space, or our Discord server.
返信 1 · Renote 1
#Fedify 프레임워크의 #WebFinger 구현에서 발견된 보안 취약점 CVE-2025-23221을 해결하기 위한 보안 업데이트(1.0.14, 1.1.11, 1.2.11, 1.3.4)를 배포했습니다. 모든 사용자께서는 각자 사용 중인 버전에 해당하는 최신 버전으로 즉시 업데이트하시기를 권장합니다.


취약점 내용


보안 연구자가 Fedify의 lookupWebFinger() 함수에서 다음과 같은 보안 문제점들을 발견했습니다: 무한 리다이렉트 루프를 통한 서비스 거부 공격 가능 내부 네트워크 주소로의 리다이렉트를 통한 SSRF (서버측 요청 위조) 공격 가능 리다이렉트 조작을 통한 의도하지 않은 URL 스킴 접근 가능 수정된 버전 1.3.x 시리즈: 1.3.4로 업데이트 1.2.x 시리즈: 1.2.11로 업데이트 1.1.x 시리즈: 1.1.11로 업데이트 1.0.x 시리즈: 1.0.14로 업데이트



변경 사항


이번 보안 업데이트에는 다음과 같은 수정 사항이 포함되어 있습니다:


무한 리다이렉트 루프를 방지하기 위해 최대 리다이렉트 횟수 제한(5회) 도입

원래 요청과 동일한 스킴(HTTP/HTTPS)으로만 리다이렉트 허용하도록 제한

SSRF 공격 방지를 위해 내부 네트워크 주소로의 리다이렉트 차단



업데이트 방법


다음 명령어로 최신 보안 버전으로 업데이트하실 수 있습니다:


# npm 사용자의 경우
npm update @fedify/fedify

# Deno 사용자의 경우
deno add jsr:@fedify/fedify
이 취약점을 책임감 있게 보고해 주신 보안 연구자께 감사드립니다. 덕분에 신속하게 문제를 해결할 수 있었습니다. 이 취약점에 대한 자세한 내용은 보안 권고문을 참고해 주시기 바랍니다. 문의 사항이나 우려 사항이 있으시다면 GitHub Discussions나 Matrix 채팅방, 또는 Discord 서버를 통해 언제든 연락해 주시기 바랍니다. #보안 #보안패치 #취약점 #SSRF
返信 1 · Renote 1
返信 1 · Renote 0
Hollo
public
In related news, #Hollo has also released #security updates: 0.3.6 & 0.4.4. Update now! https://hollo.social/@fedify/01948487-87b2-709d-953f-8799b78433ed
Fedify: an ActivityPub server framework
public
We have released #security updates (1.0.14, 1.1.11, 1.2.11, 1.3.4) to address CVE-2025-23221, a #vulnerability in #Fedify's #WebFinger implementation. We recommend all users update to the latest version of their respective release series immediately.


The Vulnerability


A security researcher identified multiple security issues in Fedify's lookupWebFinger() function that could be exploited to: Perform denial of service attacks through infinite redirect loops Execute server-side request forgery (#SSRF) attacks via redirects to private network addresses Access unintended URL schemes through redirect manipulation Fixed Versions 1.3.x series: Update to 1.3.4 1.2.x series: Update to 1.2.11 1.1.x series: Update to 1.1.11 1.0.x series: Update to 1.0.14



Changes


The security updates implement the following fixes:


Added a maximum redirect limit (5) to prevent infinite redirect loops

Restricted redirects to only follow the same scheme as the original request (HTTP/HTTPS)

Blocked redirects to private network addresses to prevent SSRF attacks



How to Update


To update to the latest secure version:


# For npm users
npm update @fedify/fedify

# For Deno users
deno add jsr:@fedify/fedify
We thank the security researcher who responsibly disclosed this vulnerability, allowing us to address these issues promptly. For more details about this vulnerability, please refer to our security advisory. If you have any questions or concerns, please don't hesitate to reach out through our GitHub Discussions, join our Matrix chat space, or our Discord server.
返信 1 · Renote 1
返信 1 · Renote 0
Hollo
public
Hollo 0.3.0 released! #Hollo is a single-user federated microblogging software which is #ActivityPub-enabled and powered by #Fedify. The key changes of this release include: Thanks to @[email protected], Hollo now support local filesystem storage for media files. You can configure DRIVE_DISK=fs and FS_ASSET_PATH to store media files in the local filesystem. For users who've used S3, no further action is required—but, it's recommended to configure DRIVE_DISK=s3 as DRIVE_DISK will be required in the future releases. Added support for Sentry. If you want to see error reports and instrumented traces in Sentry, please configure SENTRY_DSN. Added pagination to the profile page. Minor performance improvements and bug fixes due to upgrading Fedify to 1.3.0. You can upgrade to Hollo 0.3.0 using the following ways: To Railway users: Just redeploy the Hollo service! To Docker users: Switch your Hollo image to ghcr.io/dahlia/hollo:0.3.0 or simply latest! To manual installers: Fetch the stable branch and switch over to it!
返信 0 · Renote 1
Hollo
public
Hollo 0.2.0 released! #Hollo is a single-user federated microblogging software which is #ActivityPub-enabled and powered by #Fedify. The key changes of this release include: Thanks to @[email protected], now you can report remote accounts and posts. Added two-factor authentication support. Thanks again to @[email protected], Hollo improved alignment on Mastodon API changes about OAuth and apps. Thanks again to @[email protected], RFC 8414 for OAuth Authorization Server metadata endpoint. It will improve interoperability between Hollo and Mastodon-compatible client apps.





Renamed the Data menu from the administration dashboard to Federation, and: Now posts also can be force-refreshed. Now the number of messages in the task queue is shown. Custom emojis now can be deleted from the administration dashboard. Thanks @[email protected], PORT and ALLOW_PRIVATE_ADDRESS environment variables are introduced. Added a favicon. Dropped support for Redis, which was an optional dependency. You can upgrade to Hollo 0.2.0 using the following ways: To Railway users: Just redeploy the Hollo service! To Docker users: Switch your Hollo image to ghcr.io/dahlia/hollo:0.2.0 or simply latest! To manual installers: Fetch the stable branch and switch over to it!
  • original.png
  • original.png
  • original.png
  • original.png
返信 0 · Renote 1