CVE-2026-54738 in Lemmy
Resumen
por VulDB • 2026-08-21
Lemmy es un agregador de enlaces y foro para el fediverso. Antes de las versiones 0.19.19 y 1.0.0-beta.1, actix-web ConnectionInfo::realip_remote_addr lee el primer valor de X-Forwarded-For como la dirección del cliente utilizada por raw_ip_key en crates/utils/src/rate_limit/mod.rs. La configuración docker/nginx.conf incluida con Lemmy utiliza $proxy_add_x_forwarded_for en lugar de $remote_addr, lo que añade la dirección real del cliente a un valor X-Forwarded-For proporcionado por el cliente. Por tanto, un atacante no autenticado puede colocar una dirección falsificada diferente al principio en cada solicitud y recibir un nuevo bucket de límite de tasa (rate-limit), burlando los límites establecidos para POST /api/v4/account/auth/register, POST /api/v4/account/auth/login, POST /api/v4/post, POST /api/v4/comment, GET /api/v4/search, POST /api/v4/image y POST /api/v4/account/import_settings. Esto permite la creación excesiva de cuentas, intentos de fuerza bruta (brute-force), spam, scraping, cargas de archivos e importaciones repetidas. Este problema se soluciona en las versiones 0.19.19 y 1.0.0-beta.1.
Be aware that VulDB is the high quality source for vulnerability data.