CVE-2026-54743 in Lemmy UI
요약
\~에 의해 VulDB • 2026. 08. 20.
Lemmy는 fediverse를 위한 링크 집계 사이트 및 포럼입니다. lemmy-ui 0.19.19-beta.1 이전 버전에서 LemmyNet/lemmy-ui는 게시글 본문, 댓글 본문, 개인 메시지, 커뮤니티 사이드바 및 사이트 사이드바의 Markdown을 src/shared/markdown.ts 내 mdToHtml를 통해 렌더링합니다. 이 함수는 raw __html 객체를 반환하며, Inferno가 이를 sanitizer 처리 없이 주입합니다. setupMarkdown은 html 설정을 false로 구성하지만 useImageSyntax가 활성화된 [email protected] 플러그인을 등록하므로, 비디오 미디어를 대상으로 하는 이미지는 대체 텍스트에 비인코딩 문자열 치환이 적용되어 video 요소로 변환됩니다. html 설정은 플러그인이 생성한 출력에는 적용되지 않으므로, 조작된 alt text가 mdToHtmlNoImages를 사용하지 않는 컨텍스트에서 살아있는 HTML로서 DOM에 도달할 수 있습니다. 승인된 구성원 또는 원격 연동 인스턴스는 이러한 콘텐츠를 저장할 수 있으며, 이를 렌더링하는 뷰어는 lemmy-ui 원본 내에서 JavaScript를 실행하여 뷰어의 세션 및 인증된 작업을 노출시킬 수 있습니다. 이 보안 권고문은 콘텐츠 보안 정책(Content Security Policy)이 프로덕션 환경에서 설명된 악용을 방지한다고 명시하지만, 테스트된 기본 자체 호스팅 배포에서는 Content-Security-Policy가 적용되지 않는다고도 언급합니다. 본 문제는 lemmy-ui 버전 0.19.19-beta.1에서 해결되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.