Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2025-01591

Опубликовано: 23 янв. 2025
Источник: fstec
CVSS3: 4
CVSS2: 2.6
EPSS Низкий

Описание

Уязвимость функции verify_url_valid() фреймворка Activitypub-Federation платформы для создания и управления сообществами Lemmy связана с недостаточной проверкой запросов на стороне сервера. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обойти ограничения безопасности и получить несанкционированный доступ к защищаемой информации путем отправки специально сформированных GET-запросов

Вендор

Сообщество свободного программного обеспечения

Наименование ПО

Lemmy
Activitypub-Federation

Версия ПО

до 0.19.8 включительно (Lemmy)
до 0.6.2 включительно (Activitypub-Federation)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

-

Уровень опасности уязвимости

Низкий уровень опасности (базовая оценка CVSS 2.0 составляет 2,6)
Средний уровень опасности (базовая оценка CVSS 3.0 составляет 4)

Возможные меры по устранению уязвимости

Использование рекомендаций:
Для Activitypub-Federation:
https://github.com/LemmyNet/activitypub-federation-rust/releases
Для Lemmy:
https://join-lemmy.org/news/2025-02-10_-_Lemmy_Release_v0.19.9
https://github.com/LemmyNet/lemmy/releases/tag/0.19.9

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 27%
0.00095
Низкий

4 Medium

CVSS3

2.6 Low

CVSS2

Связанные уязвимости

CVSS3: 4
nvd
12 месяцев назад

Lemmy, a link aggregator and forum for the fediverse, is vulnerable to server-side request forgery via a dependency on activitypub_federation, a framework for ActivityPub federation in Rust. This vulnerability, which is present in versions 0.6.2 and prior of activitypub_federation and versions 0.19.8 and prior of Lemmy, allows a user to bypass any predefined hardcoded URL path or security anti-Localhost mechanism and perform an arbitrary GET request to any Host, Port and URL using a Webfinger Request. As of time of publication, a fix has not been made available.

CVSS3: 4
github
12 месяцев назад

Server-Side Request Forgery (SSRF) in activitypub_federation

EPSS

Процентиль: 27%
0.00095
Низкий

4 Medium

CVSS3

2.6 Low

CVSS2