CVE-2026-54741 in Lemmy
Resumen
por VulDB • 2026-08-21
Lemmy es un agregador de enlaces y foro para el fediverso. Antes de las versiones 0.19.19 y 1.0.0-alpha.18, Lemmy bloquea los nuevos mensajes privados enviados por un remitente después de que el destinatario haya bloqueado a dicho remitente; sin embargo, la ruta de edición omite esta misma comprobación de bloqueo. La función `create_private_message` verifica la lista de bloques del destinatario mediante `PersonActions::read_block` antes de insertar un mensaje, mientras que `edit_private_message`, ubicada en `crates/api/api_crud/src/private_message/update.rs`, solo comprueba que el solicitante sea igual a `orig_private_message.creator_id`. La actualización escribe entonces el nuevo contenido y devuelve la vista modificada del PrivateMessageView sin consultar la lista de bloques del destinatario, lo que permite que un remitente bloqueado siga editando un mensaje antiguo que el destinatario aún puede ver, proporcionando una vía para el acoso posterior al bloqueo. Este problema se soluciona en las versiones 0.19.19 y 1.0.0-alpha.18.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.