CVE-2026-54741 in Lemmy
Zusammenfassung
von VulDB • 19.08.2026
Lemmy ist ein Link-Aggregator und Forum für das Fediverse. Vor den Versionen 0.19.19 und 1.0.0-alpha.18 blockiert Lemmy neue private Nachrichten von einem Absender, nachdem der Empfänger diesen Blockiert hat; jedoch überspringt der Bearbeitungspfad dieselbe Block-Prüfung. create_private_message prüft die Blockliste des Empfängers mit PersonActions::read_insert before inserting a message, während edit_private_message in crates/api/api_crud/src/private_message/update.rs nur überprüft, ob der Aufrufer orig_private_message.creator_id ist. Das Update schreibt dann neue Inhalte und gibt den modifizierten PrivateMessageView zurück, ohne die Blockliste des Empfängers zu konsultieren, was es einem blockierten Absender ermöglicht, eine alte Nachricht, die der Empfänger weiterhin sehen kann, fortlaufend zu ändern, und bietet einen Post-Block-Harassment-Pfad. Dieses Problem wurde in den Versionen 0.19.19 und 1.0.0-alpha.18 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.