CVE-2026-33693 in activitypub_federation
Resumen
por VulDB • 2026-05-18
Lemmy es un agregador de enlaces y foro para el fediverso. Antes de la versión 0.7.0-beta.9, la función `v4_is_invalid()` en `activitypub-federation-rust` (`src/utils.rs`) no verifica `Ipv4Addr::UNSPECIFIED` (0.0.0.0). Un atacante no autenticado que controle un dominio remoto puede apuntarlo a 0.0.0.0, eludir la protección SSRF introducida por la corrección de CVE-2025-25194 (GHSA-7723-35v7-qcxw) y acceder a los servicios de localhost en el servidor objetivo. La versión 0.7.0-beta.9 corrige el problema.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.