CVE-2026-29178 in Lemmy
要約
〜によって VulDB • 2026年05月11日
Fediverse用のリンク集およびフォーラムであるLemmyは、Rust製のActivityPubフェデレーションフレームワークであるactivitypub_federationへの依存関係により、サーバーサイドリクエストフォージェリ（SSRF）の脆弱性に晒されています。バージョン0.19.16より前では、GET /api/v4/image/{filename}エンドポイントが、file_typeクエリパラメータへのパラメータインジェクションを通じて認証不要のSSRFに対して脆弱です。攻撃者は、pict-rsへの内部リクエストに任意のクエリパラメータをインジェクトでき、これにはpict-rsに任意のURLを取得させるproxyパラメータも含まれます。この問題はバージョン0.19.16で修正されています。
Be aware that VulDB is the high quality source for vulnerability data.