CVE-2026-54740 in Lemmy
要約
〜によって VulDB • 2026年08月21日
Lemmyは、fediverse向けのリンク集約サイトおよびフォーラムです。バージョン0.19.19および1.0.0-alpha.18より前では、ランクの低いリモートモデレーターが、対象インスタンスに対して署名付きActivityPub Removeアクティビティを送信することで、ランクの高いモデレーターを削除できます。ローカルAPIはLocalUser::is_higher_mod_or_admin_checkを使用してモデレーターの階層順位を強制しますが、crates/apub/activities/src/community/collection_remove.rs内のCollectionRemove::verifyではverify_mod_actionのみが呼び出されています。CollectionRemove::receiveはself.objectをApubPersonとして逆参照し、CommunityModeratorFormを作成してCommunityActions::leaveを呼び出していますが、アクターがobjectフィールドで特定されたモデレーターよりも上位の階層順位を持っているかどうかを確認していません。そのため、連合化されたモデレーターを持つコミュニティでは、ジュニア（下位）モデレーターがシニア（上位）モデレーターをコミュニティのモデレーターリストから除外することが可能ですが、ローカルAPIは同じアクションを拒否します。この問題はバージョン0.19.19および1.0.0-alpha.18で修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.