CVE-2026-54739

Nome do Software Vulnerável e Versões Afetadas Lemmy versões anteriores a 0.19.19 Lemmy versões anteriores a 1.0.0-beta.1

Description O endpoint de login em crates/api/api/src/local user/login.rs apresenta uma discrepância de resposta com base na existência de uma conta de usuário. A função LocalUserView::find by email or name() retorna uma resposta NotFound (HTTP 404) para contas desconhecidas, enquanto contas existentes com senha incorreta retornam uma resposta LemmyErrorType::IncorrectLogin (HTTP 400). Esse comportamento permite que um invasor não autenticado utilize o parâmetro username or email para enumerar nomes de usuário ou endereços de e-mail registrados, facilitando ataques de credenciais direcionados ou engenharia social.

Recommendations Atualize para a versão 0.19.19. Atualize para a versão 1.0.0-beta.1.