CVE-2026-54738 in Lemmy
Riassunto
di VulDB • 20/08/2026
Lemmy è un aggregatore di link e forum per il fediverso. Prima delle versioni 0.19.19 e 1.0.0-beta.1, actix-web ConnectionInfo::realip_remote_addr leggeva il primo valore di X-Forwarded-For come indirizzo client utilizzato da raw_ip_key in crates/utils/src/rate_limit/mod.rs. La configurazione docker/nginx.conf inclusa con Lemmy utilizza $proxy_add_x_forwarded_for invece di $remote_addr, che aggiunge l'indirizzo reale del client a un valore X-Forwarded-For fornito dal cliente. Un attaccante non autenticato può quindi inserire un indirizzo spoofato diverso come primo elemento in ogni richiesta e ottenere un nuovo bucket per il rate limiting, aggirando i limiti su POST /api/v4/account/auth/register, POST /api/v4/account/auth/login, POST /api/v4/post, POST /api/v4/comment, GET /api/v4/search, POST /api/v4/image e POST /api/v4/account/import_settings. Ciò consente la creazione eccessiva di account, tentativi di brute-force, spam, scraping, upload e importazioni ripetute. Questo problema è risolto nelle versioni 0.19.19 e 1.0.0-beta.1.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.