CVE-2026-54740
Açıklama
Lemmy, fediverse için bir bağlantı toplayıcı ve forumdur. 0.19.19 ve 1.0.0-alpha.18 sürümlerinden önce, daha düşük rütbeli uzak bir moderatör, hedef örneğe imzalı bir ActivityPub Remove etkinliği göndererek daha yüksek rütbeli bir moderatörü kaldırabilir. Yerel API, moderatör rütbesini uygulamak için LocalUser::is_higher_mod_or_admin_check fonksiyonunu kullanır ancak crates/apub/activities/src/community/collection_remove.rs dosyasındaki CollectionRemove::verify yalnızca verify_mod_action fonksiyonunu çağırır. CollectionRemove::receive, self.object'i bir ApubPerson olarak çözümler, bir CommunityModeratorForm oluşturur ve aktörün object alanı tarafından tanımlanan moderatörden daha üst rütbede olduğunu kontrol etmeden CommunityActions::leave fonksiyonunu çağırır. Federasyon moderatörlerinin bulunduğu topluluklarda, yerel API aynı işlemi reddetmesine rağmen, kıdemsiz bir moderatör kıdemli moderatörleri topluluk moderatör listesinden çıkarabilir. Bu sorun 0.19.19 ve 1.0.0-alpha.18 sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| LemmyNet lemmy | < 0.19.19, >= 1.0.0-alpha.0, < 1.0.0-alpha.18 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.