CVE-2026-54739 in Lemmy
要約
〜によって VulDB • 2026年08月21日
Lemmyは、fediverse向けのリンク集約サイトおよびフォーラムです。バージョン0.19.19および1.0.0-beta.1より前では、crates/api/api/src/local_user/login.rsにあるLemmyのログインエンドポイントは、username_or_email値が存在するかどうかによって異なるエラーを返します。LocalUserView::find_by_email_or_nameは、存在しないアカウントに対してNotFound応答を伝播させる一方、パスワードが間違っている既存のアカウントにはLemmyErrorType::IncorrectLoginを返します。この観測可能な応答の不整合（存在しないアカウントに対するHTTP 404と、既存のアカウントにおける誤ったパスワードによるHTTP 400）により、認証されていない攻撃者は登録済みユーザー名またはメールアドレスを確認でき、その結果を用いて標的型資格情報攻撃やソーシャルエンジニアリングを行うことができます。この問題はバージョン0.19.19および1.0.0-beta.1で修正されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.