CVE-2026-54738

Lemmy fediverse üçün link aqreqatoru və forumdur. 0.19.19 və 1.0.0-beta.1 versiyalarından əvvəl, actix-web ConnectionInfo::realip_remote_addr funksiyası crates/utils/src/rate_limit/mod.rs faylında raw_ip_key tərəfindən istifadə edilən müştəri ünvanı kimi X-Forwarded-For başlığının ilk dəyərini oxuyur. Lemmy-nin daxilindəki docker/nginx.conf faylı $remote_addr əvəzinə $proxy_add_x_forwarded_for istifadə edir ki, bu da müştəri tərəfindən təmin edilən X-Forwarded-For dəyərinə real müştəri ünvanını əlavə edir. Buna görə də, autentifikasiya olunmamış hücumçu hər sorğuda birinciyə fərqli saxta ünvan yerləşdirərək yeni bir rate-limit səbəti ala bilər və beləliklə POST /api/v4/account/auth/register, POST /api/v4/account/auth/login, POST /api/v4/post, POST /api/v4/comment, GET /api/v4/search, POST /api/v4/image və POST /api/v4/account/import_settings üzrə limitləri yan keçə bilər. Bu, həddindən artıq hesab yaradılmasına, brute-force cəhdlərinə, spama, məlumatların qanunsuz toplanmasına (scraping), yükləmələrə və təkrar idxallara şərait yaradır. Bu problem 0.19.19 və 1.0.0-beta.1 versiyalarında düzəldilmişdir.