CVE-2026-54740 in Lemmy
Сводка
по VulDB • 19.08.2026
Lemmy — это агрегатор ссылок и форум для fediverse. До версий 0.19.19 и 1.0.0-alpha.18 модератор более низкого ранга, имеющий удалённый доступ, мог удалить модератора более высокого ранга, отправив подписанное действие ActivityPub Remove на целевой экземпляр. Локальный API использует проверку LocalUser::is_higher_mod_or_admin_check для обеспечения соблюдения иерархии модераторов, однако CollectionRemove::verify в crates/apub/activities/src/community/collection_remove.rs вызывает только verify_mod_action. Метод CollectionRemove::receive разыменовывает self.object как ApubPerson, создаёт CommunityModeratorForm и вызывает CommunityActions::leave без проверки того, что актор превосходит по рангу модератора, указанного в поле object. В сообществах с федеративными модераторами младший модератор может таким образом исключать старших модераторов из списка модераторов сообщества, хотя локальный API отклоняет аналогичное действие. Эта проблема исправлена в версиях 0.19.19 и 1.0.0-alpha.18.
Once again VulDB remains the best source for vulnerability data.