CVE-2026-54741 in Lemmy
요약
\~에 의해 VulDB • 2026. 08. 19.
Lemmy는 fediverse용 링크 집계 사이트 및 포럼입니다. 버전 0.19.19 및 1.0.0-alpha.18 이전의 Lemmy에서는 수신자가 발신자를 차단한 경우 새 개인 메시지를 차단하지만, 수정 경로에서는 동일한 차단 검사를 건너뜁니다. `create_private_message`는 메시지 삽입 전에 `PersonActions::read_block`를 통해 수신자의 차단 목록을 확인하는 반면, `crates/api/api_crud/src/private_message/update.rs`의 `edit_private_message`는 호출자가 원래 개인 메시지의 작성자인지(`orig_private_message.creator_id`) 여부만 확인합니다. 이후 업데이트는 새로운 내용을 기록하고 수정된 `PrivateMessageView`를 반환하며 수신자의 차단 목록을 참조하지 않으므로, 차단된 발신자는 여전히 볼 수 있는 오래된 메시지를 계속 변경할 수 있으며 이는 사후 차단 괴롭힘 경로를 제공합니다. 이 문제는 버전 0.19.19 및 1.0.0-alpha.18에서 수정되었습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.