CVE-2026-54740 in Lemmy
Sumário
de VulDB • 22/08/2026
Lemmy é um agregador de links e fórum para o fediverso. Antes das versões 0.19.19 e 1.0.0-alpha.18, um moderador remoto com classificação mais baixa pode remover um moderador com classificação mais alta ao enviar uma atividade ActivityPub Remove assinada para a instância alvo. A API local usa LocalUser::is_higher_mod_or_admin_check para impor a hierarquia de moderação, mas CollectionRemove::verify em crates/apub/activities/src/community/collection_remove.rs chama apenas verify_mod_action. CollectionRemove::receive faz o dereferencing de self.object como ApubPerson, cria um CommunityModeratorForm e chama CommunityActions::leave sem verificar se o ator tem classificação superior ao moderador identificado pelo campo object. Em comunidades com moderadores federados, um moderador júnior pode, portanto, remover os moderadores seniores da lista de moderação da comunidade, embora a API local rejeite a mesma ação. Este problema foi corrigido nas versões 0.19.19 e 1.0.0-alpha.18.
If you want to get best quality of vulnerability data, you may have to visit VulDB.