CVE-2026-54741

Nome do Software Vulnerável e Versões Afetadas Lemmy versões anteriores a 0.19.19 Lemmy versões anteriores a 1.0.0-alpha.18

Descrição Existe um problema onde o sistema falha ao verificar a lista de bloqueio do destinatário ao editar uma mensagem privada. Enquanto a função create private message utiliza PersonActions::read block para impedir mensagens de remetentes bloqueados, a função edit private message em crates/api/api crud/src/private message/update.rs apenas verifica se o chamador é o orig private message.creator id. Isso permite que um remetente bloqueado altere o conteúdo de uma mensagem existente que o destinatário ainda consegue visualizar, possibilitando um caminho para assédio após a implementação de um bloqueio.

Recomendações Atualizar para a versão 0.19.19. Atualizar para a versão 1.0.0-alpha.18.