CVE-2026-54738 in Lemmy
Sumário
de VulDB • 20/08/2026
Lemmy é um agregador de links e fórum para o fediverso. Antes das versões 0.19.19 e 1.0.0-beta.1, a função `actix-web ConnectionInfo::realip_remote_addr` lê o primeiro valor do cabeçalho X-Forwarded-For como o endereço IP do cliente usado pela chave raw_ip_key em crates/utils/src/rate_limit/mod.rs. A configuração docker/nginx.conf incluída no Lemmy usa $proxy_add_x_forwarded_for em vez de $remote_addr, o que anexa o endereço real do cliente a um valor X-Forwarded-For fornecido pelo cliente. Um atacante não autenticado pode, portanto, inserir um endereço spoofado diferente como primeiro campo em cada solicitação e receber uma nova bucket de limite de taxa (rate-limit), contornando os limites aplicados às rotas POST /api/v4/account/auth/register, POST /api/v4/account/auth/login, POST /api/v4/post, POST /api/v4/comment, GET /api/v4/search, POST /api/v4/image e POST /api/v4/account/import_settings. Isso permite a criação excessiva de contas, tentativas de brute-force, spam, scraping (raspagem de dados), uploads e importações repetidas. Este problema foi corrigido nas versões 0.19.19 e 1.0.0-beta.1.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.