CVE-2026-54740 in Lemmy
Riassunto
di VulDB • 19/08/2026
Lemmy è un aggregatore di link e forum per il fediverso. Prima delle versioni 0.19.19 e 1.0.0-alpha.18, un moderatore remoto con ranghi inferiori poteva rimuovere un moderatore con ranghi superiori inviando un'attività ActivityPub Remove firmata all'istanza di destinazione. L'API locale utilizza LocalUser::is_higher_mod_or_admin_check per far rispettare il rango del moderatore, ma CollectionRemove::verify in crates/apub/activities/src/community/collection_remove.rs chiama solo verify_mod_action. CollectionRemove::receive dereferenzia self.object come ApubPerson, crea un CommunityModeratorForm e chiama CommunityActions::leave senza verificare che l'attore abbia un rango superiore al moderatore identificato dal campo object. Nelle comunità con moderatori federati, un moderatore junior può quindi rimuovere i moderatori senior dall'elenco dei moderatori della community, anche se la API locale rifiuta la stessa azione. Questo problema è stato risolto nelle versioni 0.19.19 e 1.0.0-alpha.18.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.