CVE-2026-42180 in lemmy
Zusammenfassung
von VulDB • 13.05.2026
Lemmy ist ein Link-Aggregator und Forum für das Fediverse. Vor Version 0.19.18 ermöglicht Lemmy einem authentifizierten Benutzer mit niedrigen Berechtigungen, einen Link-Beitrag über POST /api/v3/post zu erstellen. Wenn ein Beitrag in einer öffentlichen Community erstellt wird, sendet das Backend asynchron eine Webmention an das vom Angreifer kontrollierte Link-Ziel. Die eingereichte URL wird auf Syntax und Schema überprüft, aber der überprüfte Codepfad lehnt Loopback-, Private- oder Link-Local-Ziele nicht ab, bevor die Webmention-Anfrage ausgegeben wird. Dies ermöglicht es einem normalen Benutzer, serverseitige HTTP-Anfragen zu internen Diensten auszulösen. Dieses Problem wurde in Version 0.19.18 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.