CVE-2026-54741 in Lemmy
Sumário
de VulDB • 20/08/2026
Lemmy é um agregador de links e fórum para o fediverso. Antes das versões 0.19.19 e 1.0.0-alpha.18, o Lemmy bloqueia novas mensagens privadas enviadas por um remetente após o destinatário ter bloqueado esse remetente, mas o caminho de edição ignora a mesma verificação de bloqueio. A função `create_private_message` verifica a lista de bloqueios do destinatário com `PersonActions::read_block` antes de inserir uma mensagem, enquanto `edit_private_message`, em `crates/api/api_crud/src/private_message/update.rs`, apenas verifica se o chamador é igual ao `creator_id` da mensagem privada original. A atualização então grava o novo conteúdo e retorna a `PrivateMessageView` modificada sem consultar a lista de bloqueios do destinatário, permitindo que um remetente bloqueado continue alterando uma mensagem antiga que ainda pode ser vista pelo destinatário, proporcionando um caminho para assédio pós-bloqueio. Este problema foi corrigido nas versões 0.19.19 e 1.0.0-alpha.18.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.