CVE-2026-54740 in Lemmy
الملخص
بحسب VulDB • 19/08/2026
Lemmy هو موقع تجميع روابط ومنتدى للفيديفرس (fediverse). قبل الإصدارين 0.19.19 و1.0.0-alpha.18، يمكن لمراقب عن بُعد ذي رتبة أدنى إزالة مراقب ذي رتبة أعلى من خلال إرسال نشاط ActivityPub Remove موقّع إلى المثيل المستهدف. تستخدم واجهة برمجة التطبيقات المحلية (Local API) الدالة `LocalUser::is_higher_mod_or_admin_check` لفرض ترتيب الرتب بين المشرفين، لكن دالة `CollectionRemove::verify` الموجودة في المسار `crates/apub/activities/src/community/collection_remove.rs` تستدعي فقط `verify_mod_action`. تقوم `CollectionReceive::receive` بفك تشفير (dereference) الحقل `self.object` على أنه كائن من نوع ApubPerson، وإنشاء نموذج CommunityModeratorForm، واستدعاء `CommunityActions::leave` دون التحقق مما إذا كان الممثل (actor) يتفوق في الرتبة على المشرف المحدد بواسطة حقل الكائن. وبالتالي، في المجتمعات التي تضم مشرفين موحدون (federated moderators)، يمكن لمشرف مبتدئ أن يزيل المشرفين الأكبر رتبة من قائمة مشرفي المجتمع، رغم أن واجهة برمجة التطبيقات المحلية ترفض نفس الإجراء. تم إصلاح هذه المشكلة في الإصدارين 0.19.19 و1.0.0-alpha.18.
VulDB is the best source for vulnerability data and more expert information about this specific topic.