CVE-2026-54738
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 36 - wyżej niż 36% wszystkich znanych CVE
Streszczenie
Lemmy przed wersjami 0.19.19 i 1.0.0-beta.1 używa pierwszej wartości nagłówka X-Forwarded-For jako adresu klienta do ograniczania szybkości. Konfiguracja nginx dołącza prawdziwy adres klienta do wartości dostarczonej przez klienta, co pozwala atakującemu na spoofing adresu i ominięcie limitów na wiele endpointów API.
Ocena ryzyka
Ominięcie limitów szybkości umożliwia nadmierną rejestrację kont, ataki brute-force, spam, scraping, przesyłanie plików i wielokrotne importy, co może przeciążyć system i naruszyć integralność danych.
Rekomendacja
Zaktualizuj Lemmy do wersji 0.19.19 lub 1.0.0-beta.1, która zawiera poprawkę dotyczącą obsługi X-Forwarded-For.
Inne podatności w Lemmy
Zobacz wszystkie- CVE-2026-29178Wysokie
Lemmy, agregator linków i forum dla fediverse, jest podatny na atak SSRF (Server-Side Request Forgery) przez zależność od frameworka activitypub_federation. Przed wersją 0.19.16, endpoint GET /api/v4/image/{filename} jest podatny na nieuwierzytelniony SSRF poprzez wstrzyknięcie parametrów w parametrze file_type. Atakujący może wstrzyknąć dowolne parametry zapytania do wewnętrznego żądania do pict-rs, w tym parametr proxy, co powoduje, że pict-rs pobiera dowolne adresy URL.
- CVE-2026-54743Średnie
Lemmy-ui przed wersją 0.19.19-beta.1 renderuje Markdown bez sanityzacji, co pozwala na wstrzyknięcie HTML i wykonanie JavaScript w kontekście origin lemmy-ui. Zatwierdzony członek lub zdalna sfederowana instancja może przechowywać złośliwą treść, a osoba ją wyświetlająca może wykonać skrypt, co może ujawnić sesję i uwierzytelnione działania.
- CVE-2026-54741Średnie
Lemmy przed wersjami 0.19.19 i 1.0.0-alpha.18 nie sprawdza listy blokad przy edycji prywatnych wiadomości. Zablokowany nadawca może nadal edytować stare wiadomości, które odbiorca może zobaczyć, co umożliwia nękanie po zablokowaniu.
- CVE-2026-54740Średnie
Lemmy przed wersjami 0.19.19 i 1.0.0-alpha.18 pozwala moderatorowi o niższej randze na usunięcie moderatora o wyższej randze poprzez wysłanie podpisanej aktywności ActivityPub Remove. Weryfikacja nie sprawdza rangi moderatora, co umożliwia junior moderatorowi usunięcie senior moderatora z listy moderatorów społeczności.
- CVE-2026-54739Średnie
Lemmy przed wersjami 0.19.19 i 1.0.0-beta.1 zwraca różne błędy przy logowaniu w zależności od tego, czy nazwa użytkownika lub adres e-mail istnieje w systemie. Nieistniejące konto powoduje błąd 404, a istniejące z błędnym hasłem zwraca błąd 400. Ta różnica pozwala nieuwierzytelnionemu atakującemu potwierdzić zarejestrowane nazwy użytkowników lub adresy e-mail.
- CVE-2026-54742Średnie
Lemmy, agregator linków i forum dla fediverse, w wersjach od 0.19.18 do 0.19.19 i 1.0.0-alpha.20, pozwala moderatorowi społeczności na wyróżnianie lub usuwanie wyróżnienia postów w innych społecznościach poprzez sfederowane aktywności CollectionAdd i CollectionRemove. Brak weryfikacji, czy post należy do danej społeczności, umożliwia manipulację treściami innych społeczności.
Oryginalny opis (angielski, źródło NVD)
Lemmy is a link aggregator and forum for the fediverse. Prior to 0.19.19 and 1.0.0-beta.1, actix-web ConnectionInfo::realip_remote_addr reads the first value of X-Forwarded-For as the client address used by raw_ip_key in crates/utils/src/rate_limit/mod.rs. Lemmy's bundled docker/nginx.conf uses $proxy_add_x_forwarded_for instead of $remote_addr, which appends the real client address to an X-Forwarded-For value supplied by the client. An unauthenticated attacker can therefore place a different spoofed address first on each request and receive a new rate-limit bucket, bypassing limits on POST /api/v4/account/auth/register, POST /api/v4/account/auth/login, POST /api/v4/post, POST /api/v4/comment, GET /api/v4/search, POST /api/v4/image, and POST /api/v4/account/import_settings. This permits excessive account creation, brute-force attempts, spam, scraping, uploads, and repeated imports. This issue is fixed in versions 0.19.19 and 1.0.0-beta.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS