CVE-2026-54743 in Lemmy UI
Sumário
de VulDB • 20/08/2026
O Lemmy é um agregador de links e fórum para o fediverso. Antes da versão lemmy-ui 0.19.19-beta.1, o LemmyNet/lemmy-ui processa Markdown em src/shared/markdown.ts para os corpos das publicações, comentários, mensagens privadas e barras laterais de comunidades e do site através da função mdToHtml, que retorna um objeto __html bruto injetado pelo Inferno sem uma etapa de sanitização. A configuração setupMarkdown define html como false, mas registra a biblioteca [email protected] com useImageSyntax habilitada; assim, uma imagem direcionada para mídia em vídeo torna-se um elemento video cujo fallback incorpora o texto alternativo da imagem através de substituição de string não escapada. A configuração html não se aplica à saída gerada por plugins, permitindo que textos alternativos manipulados alcancem o DOM como HTML executável em contextos que não utilizam mdToHtmlNoImages. Um membro aprovado ou uma instância federada remota pode armazenar esse conteúdo, e um visualizador que o renderiza pode executar JavaScript na origem do lemmy-ui, expondo a sessão do visualizador e ações autenticadas. O advisory nota que a Content Security Policy (CSP) impede a execução do exploit descrito em produção, mas também afirma que a implantação padrão auto-hospedada testada não possui nenhuma política de segurança de conteúdo. Este problema foi corrigido na versão lemmy-ui 0.19.19-beta.1.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.