CVE-2026-54743

Lemmy fedivers üçün link aqreqatoru və forumdur. lemmy-ui 0.19.19-beta.1 versiyasından əvvəl, LemmyNet/lemmy-ui post gövdələri, şərh gövdələri, şəxsi mesajlar, həmçinin icma və sayt yan panelləri üçün src/shared/markdown.ts faylında Markdown-ı mdToHtml vasitəsilə render edir; bu funksiya Inferno tərəfindən sanitizasiya edilmədən birbaşa yerləşdirilən xam __html obyektini qaytarır. setupMarkdown konfiqurasiyasında html parametri false olaraq təyin edilmişdir, lakin useImageSyntax aktiv edilmiş şəkildə [email protected] qeydiyyata alınmışdır, buna görə də video medianı hədəfləyən şəkil elementi, fallback hissəsi escape edilməmiş sətir əvəzləməsi vasitəsilə şəklin alt mətnini daxil edən video elementinə çevrilir. html parametrləri plagin tərəfindən yaradılan çıxışlara tətbiq edilmir və bu da mdToHtmlNoImages istifadə etməyən kontekstlərdə xüsusi hazırlanmış alt mətninin canlı HTML kimi DOM-a çatmasına imkan verir. Təsdiqlənmiş üzv və ya uzaq federativ instansiya belə məzmunu saxlaya bilər və onu render edən baxıcı lemmy-ui mənşəyində JavaScript kodu icra edə bilər ki, bu da baxıcının sessiyasını və autentifikasiya olunmuş hərəkətlərini ifşa edir. Məsləhət bildirişində qeyd olunur ki, Content Security Policy istehsalat mühitində təsvir edilən eksploytu önləyir, lakin eyni zamanda test edilmiş standart özünə aid (self-hosted) yerləşdirmənin heç bir Content-Security-Policy təqdim etmədiyi bildirilir. Bu problem lemmy-ui 0.19.19-beta.1 versiyasında düzəldilmişdir.