CVE-2026-54743

Lemmy, fediverse için bir bağlantı toplayıcı ve forumdur. lemmy-ui 0.19.19-beta.1 sürümünden önce, LemmyNet/lemmy-ui, gönderi gövdeleri, yorum gövdeleri, özel mesajlar ile topluluk ve site kenar çubukları için Markdown'ı src/shared/markdown.ts içinde mdToHtml aracılığıyla işler; mdToHtml, Inferno'nun bir temizleme (sanitizer) geçişi olmadan enjekte ettiği ham bir __html nesnesi döndürür. setupMarkdown, html ayarını false olarak yapılandırır ancak [email protected] eklentisini useImageSyntax etkin olarak kaydeder; bu nedenle video medyasını hedefleyen bir görsel, yedek içeriği kaçışsız (unescaped) dize değiştirme yoluyla görselin alt metnini (alt text) içeren bir video öğesine dönüşür. html ayarı, eklenti tarafından üretilen çıktıya uygulanmaz ve bu da hazırlanmış alt metnin, mdToHtmlNoImages kullanmayan bağlamlarda canlı HTML olarak DOM'a ulaşmasına olanak tanır. Onaylanmış bir üye veya uzak bir federe örnek bu tür içeriği depolayabilir ve bunu işleyen bir görüntüleyici, lemmy-ui kaynağında JavaScript çalıştırabilir; bu da görüntüleyicinin oturumunu ve kimliği doğrulanmış eylemlerini açığa çıkarır. Danışma belgesi, İçerik Güvenliği Politikası'nın (Content Security Policy) üretim ortamında açıklanan istismarı engellediğini belirtir, ancak aynı zamanda test edilen varsayılan kendi kendine barındırılan dağıtımın hiçbir Content-Security-Policy sunmadığını da belirtir. Bu sorun lemmy-ui 0.19.19-beta.1 sürümünde giderilmiştir.