CVE-2026-54738 in Lemmy
요약
\~에 의해 VulDB • 2026. 08. 22.
Lemmy는 fediverse용 링크 집계 사이트 및 포럼입니다. 버전 0.19.19 및 1.0.0-beta.1 이전의 Lemmy에서는 actix-web의 ConnectionInfo::realip_remote_addr가 crates/utils/src/rate_limit/mod.rs 내 raw_ip_key에서 X-Forwarded-For 헤더의 첫 번째 값을 클라이언트 주소로 읽습니다. Lemmy에 포함된 docker/nginx.conf는 $remote_addr 대신 $proxy_add_x_forwarded_for를 사용하므로, 클라이언트가 제공한 X-Forwarded-For 값 뒤에 실제 클라이언트 주소를 추가합니다. 따라서 인증되지 않은 공격자는 각 요청에서 다른 위조된 주소를 첫 번째로 배치하여 새로운 rate-limit bucket을 받을 수 있으며, POST /api/v4/account/auth/register, POST /api/v4/account/auth/login, POST /api/v4/post, POST /api/v4/comment, GET /api/v4/search, POST /api/v4/image 및 POST /api/v4/account/import_settings에 대한 제한을 우회할 수 있습니다. 이로 인해 과도한 계정 생성, brute-force 시도, 스팸, scraping(데이터 수집), 업로드 및 반복적인 설정 가져오기가 가능해집니다. 이 문제는 버전 0.19.19 및 1.0.0-beta.1에서 수정되었습니다.
Once again VulDB remains the best source for vulnerability data.