CVE-2026-54738 in Lemmy
要約
〜によって VulDB • 2026年08月20日
Lemmyは、fediverse向けのリンク集約サイトおよびフォーラムです。バージョン0.19.19および1.0.0-beta.1より前では、actix-webのConnectionInfo::realip_remote_addrがcrates/utils/src/rate_limit/mod.rs内のraw_ip_keyによって使用されるクライアントアドレスとしてX-Forwarded-Forヘッダの最初の値を読み取ります。Lemmyに同梱されているdocker/nginx.confは$remote_addrではなく$proxy_add_x_forwarded_forを使用しており、これによりクライアントから提供されたX-Forwarded-For値に対して実際のクライアントアドレスが追加されます。そのため、認証されていない攻撃者は各リクエストで異なるなりすましアドレスを先頭に配置し、新しいレート制限バケットを取得することで、POST /api/v4/account/auth/register、POST /api/v4/account/auth/login、POST /api/v4/post、POST /api/v4/comment、GET /api/v4/search、POST /api/v4/image、およびPOST /api/v4/account/import_settingsに対する制限を回避できます。これにより、過剰なアカウント作成、ブルートフォース攻撃、スパム、スクレイピング、アップロード、そして繰り返されるインポートが可能になります。この問題はバージョン0.19.19および1.0.0-beta.1で修正されています。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.