Iniciar sesión
Deutsch English Español Polski
Media

Synapse vulnerable to leak of remote user device information

  • Publicada: 31.10.2023
  • Actualizado: 11.10.2026 15:17

Impact

Cached device information of remote users can be queried from Synapse. This can be used to enumerate the remote users known to a homeserver.

Patches

System administrators are encouraged to upgrade to Synapse 1.95.1 as soon as possible.

Workarounds

The federation_domain_whitelist can be used to limit federation traffic with a homeserver.

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

PlataformaPaqueteVersiones vulnerablesCorregida en
Python (PyPI) matrix-synapse < 1.95.1 1.95.1

Referencias

Puntuación CVSS 5.3/10
Vector CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
Debilidad (CWE)
CWE-200
Plataforma
Python (PyPI)
Paquete
matrix-synapse
Publicada
31.10.2023
Actualizado
11.10.2026 15:17

Fuentes y licencias

OSV / GitHub Advisory Database - PYSEC-2023-230 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-mp92-3jfm-3575 - CC BY 4.0

Historial de vulnerabilidades: matrix-synapse

Todas las vulnerabilidades publicadas de este paquete (Python (PyPI)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Todas (45) en el archivo
Entradas en total
45
Primera → última
03.2019 05.2026
Sin corrección
0
Explotada en ataques
0

Distribución por gravedad

  • Alta 21
  • Media 21
  • Baja 3

Divulgaciones por año

Gravedad:
  1. Synapse CPU starvation (Denial of Service)
    Alta · 5.5 CVE-2026-45078 < 1.152.1 1.152.1
  2. Synapse vulnerable to federation denial of service via malformed events
    Alta · 7.1 CVE-2025-30355 < 1.127.1 1.127.1
  3. Synapse can be forced to thumbnail unexpected file formats, invoking external, potentially untrustworthy decoders
    Alta CVE-2024-53863 < 1.120.1 1.120.1
  4. Synapse allows a a malformed invite to break the invitee's `/sync`
    Alta CVE-2024-52815 < 1.120.1 1.120.1
  5. Synapse allows unsupported content types to lead to memory exhaustion
    Alta CVE-2024-52805 < 1.120.1 1.120.1
  6. Synapse denial of service through media disk space consumption
    Alta · 7.5 CVE-2024-37302 < 1.106 1.106
  7. Synapse vulnerable to leak of remote user device information esta entrada
    Media · 5.3 CVE-2023-43796 < 1.95.1 1.95.1
  8. Synapse Denial of service due to incorrect application of event authorization rules during state resolution
    Alta · 6.5 CVE-2022-39374 >= 1.62.0, < 1.68.0rc1 1.68.0rc1
  9. Synapse does not apply enough checks to servers requesting auth events of events in a room
    Alta · 5.0 CVE-2022-39335 < 1.69.0 1.69.0
  10. Denial of service due to incorrect application of event authorization rules
    Alta · 7.5 CVE-2022-31152 < 1.62.0rc1 1.62.0rc1
  11. URL previews of unusual or maliciously-crafted pages can crash Synapse media repositories or Synapse monoliths
    Alta · 6.5 CVE-2022-31052 < 1.61.1 1.61.1
  12. Matrix Synapse DoS
    Alta · 7.5 CVE-2018-10657 < 0.28.1 0.28.1
  13. Matrix Synapse Improper Signature Validation
    Alta · 8.8 CVE-2018-16515 >= 0.33.3, < 0.33.3.1, < 0.33.2.1 0.33.3.1, 0.33.2.1
  14. Matrix Synapse Authorization Error
    Alta · 7.5 CVE-2018-12423 < 0.31.2 0.31.2
  15. Matrix Synapse Security Filtering Flaw
    Alta · 7.5 CVE-2018-12291 < 0.31.1 0.31.1
  16. Path traversal in Matrix Synapse
    Alta · 7.5 CVE-2021-41281 < 1.47.1 1.47.1
  17. Open redirect via transitional IPv6 addresses on dual-stack networks
    Alta · 6.3 CVE-2021-21392 < 1.28.0rc1 1.28.0rc1
  18. Denial of service attack via incorrect parameters in Matrix Synapse
    Alta · 6.5 CVE-2020-26257 < 1.23.1 1.23.1
  19. Denial of service attack due to invalid JSON
    Alta · 7.5 CVE-2020-26890 < 1.20.0 1.20.0
  20. Improper Verification of Cryptographic Signature in matrix-synapse
    Alta · 8.6 CVE-2019-18835 < 1.5.0 1.5.0
  21. matrix-sydent and matrix-synapse Use Cryptographically Weak PRNG
    Alta · 7.5 CVE-2019-11842 < 0.99.3.1 0.99.3.1
  22. Matrix Synapse before 0.34.0.1, when the macaroon_secret_key authentication parameter is not set, uses a predictable value to derive a secret key and other secrets which could allow remote attackers t
    Alta · 7.5 CVE-2019-5885 < 0.34.0.1 0.34.0.1

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación
Newsletter DockRay

La seguridad de tus aplicaciones en tu correo

Vulnerabilidades importantes, recomendaciones concretas y consejos prácticos para tus aplicaciones. Elige tus tecnologías y sigue lo que importa para tu proyecto.

  • Un resumen diario de nuevas vulnerabilidades, también las críticas.
  • Avisos sobre actualizaciones importantes.
  • Consejos prácticos sobre seguridad y monitorización de aplicaciones.

Déjalo vacío para recibir avisos de todas las tecnologías.

Política de privacidad

Suscripción gratuita. Date de baja con un clic en cualquier correo.