CVE-2026-54740 in Lemmy
Zusammenfassung
von VulDB • 20.08.2026
Lemmy ist ein Link-Aggregator und Forum für das Fediverse. Vor den Versionen 0.19.19 und 1.0.0-alpha.18 kann ein Remote-Moderator mit niedrigerer Rangstufe einen höherrangigen Moderator entfernen, indem er eine signierte ActivityPub-Remove-Aktivität an die Zielinstanz sendet. Die lokale API verwendet LocalUser::is_higher_mod_or_admin_check, um den Moderatoren-Rang durchzusetzen, aber CollectionRemove::verify in crates/apub/activities/src/community/collection_remove.rs ruft nur verify_mod_action auf. CollectionRemove::receive dereferenziert self.object als ApubPerson, erstellt ein CommunityModeratorForm und ruft CommunityActions::leave auf, ohne zu prüfen, ob der Akteur den vom object-Feld identifizierten Moderator an Rangstufe übertrifft. In Communities mit föderierten Moderatoren kann daher ein Junior-Moderator Senior-Administratoren aus der Liste der Community-Moderatoren entfernen, obwohl die lokale API dieselbe Aktion ablehnt. Dieses Problem wurde in den Versionen 0.19.19 und 1.0.0-alpha.18 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.