Lemmy v0.19.19多个安全漏洞公告(XSS/用户枚举/XFF欺骗)

漏洞概述 Lemmy v0.19.19 版本包含多个安全漏洞，主要涉及以下方面： 1. X-Forwarded-For 头欺骗：Lemmy 的默认 Nginx 配置使用 来设置 头，这不会覆盖现有值。客户端可以伪造 IP 并绕过速率限制。 2. 登录端点用户枚举：通过 HTTP 响应代码和时序进行用户枚举。 3. 被阻止的用户可以编辑私密消息：在被阻止之前发送的消息可以被编辑。 4. 较低级别的联邦管理员可以移除较高级别的管理员：通过联邦操作。 5. 发布帖子时未验证社区规则：通过联邦操作。 6. 存储型 XSS：通过 Markdown 图像 alt 文本在 Lemmy UI 中实现。 影响范围 X-Forwarded-For 头欺骗：影响所有使用默认 Nginx 配置的实例管理员。 登录端点用户枚举：影响所有用户，可能导致用户信息泄露。 被阻止的用户可以编辑私密消息：影响被阻止的用户和消息接收者。 较低级别的联邦管理员可以移除较高级别的管理员：影响所有联邦管理员。 发布帖子时未验证社区规则：影响所有社区和帖子发布者。 存储型 XSS：影响所有使用 Lemmy UI 的用户。 修复方案 1. X-Forwarded-For 头欺骗： - 使用 代替 。 - 如果使用 Ansible，升级时会自动更改；否则需要手动修改 Nginx 配置，确保任何 头由客户端发送的都会被覆盖。 2. 其他漏洞： - 通过升级到最新版本来修复所有其他安全漏洞。 升级说明 没有破坏性变更。 遵循适用于 或 的升级说明。 如需帮助，可在支持论坛或 Matrix Chat 中提问。 支持开发 感谢所有贡献者和用户。 支持 Lemmy 开发的方式包括： - Liberapay（推荐选项） - Open Collective - Patreon - 加密货币 代码块 无 POC 代码或利用代码。

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

Lemmy v0.19.19多个安全漏洞公告(XSS/用户枚举/XFF欺骗)

目标达成感谢每一位支持者 — 我们达成了 100% 目标！