CVE-2026-42180
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
W Lemmy przed wersją 0.19.18 uwierzytelniony użytkownik o niskich uprawnieniach może utworzyć post z linkiem przez POST /api/v3/post. Backend asynchronicznie wysyła Webmention do celu kontrolowanego przez atakującego, a ścieżka kodu nie odrzuca adresów loopback, prywatnych ani link-local.
Ocena ryzyka
Zwykły użytkownik może wywołać żądania HTTP po stronie serwera skierowane do usług wewnętrznych (SSRF). Może to prowadzić do ujawnienia informacji o infrastrukturze wewnętrznej lub interakcji z nią.
Rekomendacja
Zaktualizuj Lemmy do wersji 0.19.18 lub nowszej. Do czasu aktualizacji rozważ ograniczenie wychodzących żądań HTTP z serwera Lemmy do zaufanych zakresów adresów.
Inne podatności w Lemmy
Zobacz wszystkie- CVE-2026-29178Wysokie
Lemmy, agregator linków i forum dla fediverse, jest podatny na atak SSRF (Server-Side Request Forgery) przez zależność od frameworka activitypub_federation. Przed wersją 0.19.16, endpoint GET /api/v4/image/{filename} jest podatny na nieuwierzytelniony SSRF poprzez wstrzyknięcie parametrów w parametrze file_type. Atakujący może wstrzyknąć dowolne parametry zapytania do wewnętrznego żądania do pict-rs, w tym parametr proxy, co powoduje, że pict-rs pobiera dowolne adresy URL.
- CVE-2026-54743Średnie
Lemmy-ui przed wersją 0.19.19-beta.1 renderuje Markdown bez sanityzacji, co pozwala na wstrzyknięcie HTML i wykonanie JavaScript w kontekście origin lemmy-ui. Zatwierdzony członek lub zdalna sfederowana instancja może przechowywać złośliwą treść, a osoba ją wyświetlająca może wykonać skrypt, co może ujawnić sesję i uwierzytelnione działania.
- CVE-2026-54741Średnie
Lemmy przed wersjami 0.19.19 i 1.0.0-alpha.18 nie sprawdza listy blokad przy edycji prywatnych wiadomości. Zablokowany nadawca może nadal edytować stare wiadomości, które odbiorca może zobaczyć, co umożliwia nękanie po zablokowaniu.
- CVE-2026-54740Średnie
Lemmy przed wersjami 0.19.19 i 1.0.0-alpha.18 pozwala moderatorowi o niższej randze na usunięcie moderatora o wyższej randze poprzez wysłanie podpisanej aktywności ActivityPub Remove. Weryfikacja nie sprawdza rangi moderatora, co umożliwia junior moderatorowi usunięcie senior moderatora z listy moderatorów społeczności.
- CVE-2026-54739Średnie
Lemmy przed wersjami 0.19.19 i 1.0.0-beta.1 zwraca różne błędy przy logowaniu w zależności od tego, czy nazwa użytkownika lub adres e-mail istnieje w systemie. Nieistniejące konto powoduje błąd 404, a istniejące z błędnym hasłem zwraca błąd 400. Ta różnica pozwala nieuwierzytelnionemu atakującemu potwierdzić zarejestrowane nazwy użytkowników lub adresy e-mail.
- CVE-2026-54738Średnie
Lemmy przed wersjami 0.19.19 i 1.0.0-beta.1 używa pierwszej wartości nagłówka X-Forwarded-For jako adresu klienta do ograniczania szybkości. Konfiguracja nginx dołącza prawdziwy adres klienta do wartości dostarczonej przez klienta, co pozwala atakującemu na spoofing adresu i ominięcie limitów na wiele endpointów API.
- CVE-2026-54742Średnie
Lemmy, agregator linków i forum dla fediverse, w wersjach od 0.19.18 do 0.19.19 i 1.0.0-alpha.20, pozwala moderatorowi społeczności na wyróżnianie lub usuwanie wyróżnienia postów w innych społecznościach poprzez sfederowane aktywności CollectionAdd i CollectionRemove. Brak weryfikacji, czy post należy do danej społeczności, umożliwia manipulację treściami innych społeczności.
- CVE-2026-42181Średnie
Lemmy pobiera metadane dla URL-i postów dostarczonych przez użytkownika, a w domyślnym trybie StoreLinkPreviews pobiera obraz podglądu przez lokalny pict-rs. URL og:image nie podlega sprawdzaniu zakresów wewnętrznych IP, więc uwierzytelniony użytkownik może wymusić pobranie wewnętrznego obrazu i zapisanie go jako miniaturę.
Oryginalny opis (angielski, źródło NVD)
Lemmy is a link aggregator and forum for the fediverse. Prior to version 0.19.18, Lemmy allows an authenticated low-privileged user to create a link post through POST /api/v3/post. When a post is created in a public community, the backend asynchronously sends a Webmention to the attacker-controlled link target. The submitted URL is checked for syntax and scheme, but the audited code path does not reject loopback, private, or link-local destinations before the Webmention request is issued. This lets a normal user trigger server-side HTTP requests toward internal services. This issue has been patched in version 0.19.18.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS