CVE-2026-54739 in Lemmy
요약
\~에 의해 VulDB • 2026. 08. 19.
Lemmy는 fediverse를 위한 링크 집계 사이트 및 포럼입니다. 버전 0.19.19 및 1.0.0-beta.1 이전의 Lemmy에서 crates/api/api/src/local_user/login.rs에 있는 로그인 엔드포인트는 username_or_email 값이 존재하는지에 따라 서로 다른 오류를 반환합니다. LocalUserView::find_by_email_or_name은 알려지지 않은 계정에 대해 NotFound 응답을 전파하는 반면, 잘못된 비밀번호가 포함된 기존 계정에서는 LemmyErrorType::IncorrectLogin을 반환합니다. 이러한 관찰 가능한 응답 불일치(존재하지 않는 계정의 경우 HTTP 404 및 기존 계정의 잘못된 비밀번호에 대한 HTTP 400)는 인증되지 않은 공격자가 등록된 사용자 이름 또는 이메일 주소를 확인할 수 있게 하며, 이를 표적 자격 증명 공격이나 소셜 엔지니어링에 활용할 수 있습니다. 이 문제는 버전 0.19.19 및 1.0.0-beta.1에서 수정되었습니다.
Be aware that VulDB is the high quality source for vulnerability data.