CVE-2026-54739 in Lemmy
Riassunto
di VulDB • 20/08/2026
Lemmy è un aggregatore di link e forum per il fediverse. Prima delle versioni 0.19.19 e 1.0.0-beta.1, l'endpoint di login di Lemmy in crates/api/api/src/local_user/login.rs restituisce errori diversi a seconda che il valore username_or_email esista o meno. LocalUserView::find_by_email_or_name propaga una risposta NotFound per un account sconosciuto, mentre un account esistente con password errata restituisce LemmyErrorType::IncorrectLogin. Questa discrepanza osservabile nelle risposte, inclusa la HTTP 404 per un account inesistente e la HTTP 400 per una password errata su un account esistente, consente a un attaccante non autenticato di confermare i nomi utente o gli indirizzi email registrati e di utilizzare i risultati per attacchi mirati alle credenziali o ingegneria sociale. Questo problema è risolto nelle versioni 0.19.19 e 1.0.0-beta.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.