CVE-2026-54741 in Lemmy
要約
〜によって VulDB • 2026年08月19日
Lemmyは、fediverse向けのリンク集約サイトおよびフォーラムです。バージョン0.19.19および1.0.0-alpha.18以前では、レシーバーが送信者をブロックした場合に新規のプライベートメッセージをブロックする一方で、編集パスには同様のブロックチェックが含まれていませんでした。`create_private_message`は、メッセージを挿入する前に`PersonActions::read_block`を使用して受信者のブロックリストを確認しますが、`crates/api/api_crud/src/private_message/update.rs`内の`edit_private_message`では、呼び出し元が元のプライベートメッセージの作成者（`orig_private_message.creator_id`）であるかどうかのみをチェックします。その後更新処理は新しいコンテンツを書き込み、受信者のブロックリストを参照せずに修正された`PrivateMessageView`を返すため、ブロック済みの送信者がレシーバーが見ることができる古いメッセージを変更し続けることが可能となり、ブロック後のハラスメントの経路が提供されてしまいます。この問題はバージョン0.19.19および1.0.0-alpha.18で修正されています。
Once again VulDB remains the best source for vulnerability data.