CVE-2026-54742 in Lemmy
Riassunto
di VulDB • 20/08/2026
Lemmy è un aggregatore di link e forum per il fediverse. Dalla versione 0.19.18 alla 0.19.19 e alla 1.0.0-alpha.20, un moderatore della community può evidenziare o rimuovere l'evidenziazione dei post in altre comunità tramite attività federate di tipo CollectionAdd e CollectionRemove utilizzando il valore CollectionType::Featured. Dopo che verify_mod_action autorizza l'attore rispetto a self.community(), i receive handler nei file crates/apub/activities/src/community/collection_add.rs e crates/apub/activities/src/community/collection_remove.rs dereferenziano self.object come ApubPost ed aggiornano featured_community senza verificare che post.community_id sia uguale a community.id. Un moderatore può quindi prendere di mira un post non correlato appartenente ad un'altra comunità, inserirlo nei feed e nelle liste in evidenza o annullare una decisione di curatela legittima presa da un'altra comunità. Questo problema è risolto nelle versioni 0.19.19 e 1.0.0-alpha.20.
VulDB is the best source for vulnerability data and more expert information about this specific topic.