C'è una vulnerabilità in corso su lemmy, impatta anche feddit?

3 years ago by Casiraghi to c/caffeitalia

lemmy.world is a victim of an XSS attack right now and the hacker simply injected a JavaScript redirection into the sidebar. It appears the Lemmy backend does not escape HTML in the main sidebar. Not sure if this is also true for community sidebars. [https://sh.itjust.works/pictrs/image/707c0f16-3d5c-4888-b865-34228d968ee6.png] EDIT: the exploit is also in the tagline that appears on top of the main feed for status updates, like the following one for SDF Chatter: [https://sh.itjust.works/pictrs/image/2dc8838f-4611-4b62-92d2-ab45d7b1c560.png] [https://sh.itjust.works/pictrs/image/9195ec9c-166e-4190-a991-26d218089602.png]

MetaPhrastes 6 points 3 years ago

La vulnerabilità teoricamente riguarda tutta la piattaforma (c'è una falla di sicurezza nella sidebar che permette attacchi di tipo XSS) ma solo due istanze sono state compromesse e feddit.it non è tra queste. Nel corso della notte hanno ripristinato il funzionamento, sembrerebbe, in ogni caso. Fonte: https://lemmy.world/post/1287082 Issue GitHub: https://github.com/LemmyNet/lemmy-ui/issues/1895

save

path: 0 1063437, hotness: undefined, score: 6, children: 3

ekZeno 2 points 3 years ago

Ma non c'e un qualche aggiornamento con patch di sicurezza? Feddit ha risolto la vulnerabilità?

save

path: 0 1063437 1064066, hotness: undefined, score: 2, children: 2

MetaPhrastes 3 points 3 years ago

Nell'ultima mezz'ora c'è stata ancora attività su quella issue su GitHub (tutt'ora aperta) e sembra che il problema riguardi le custom emoji, non la sidebar. Il bug riguarda solo il frontend web e con una validazione lato client dovrebbe essere risolto, tuttavia non vedo ancora nuove versioni della lemmy-ui. C'è però una procedura di recovery documentata qualora dovessero verificarsi problemi.

save

path: 0 1063437 1064066 1064231, hotness: undefined, score: 3, children: 1

ekZeno 4 points 3 years ago

AGGIORNAMENTO- Ho cancellato e reinserito l'account dalla app dopo aver resettato la password (da email). Sembra funzionare a dovere adesso👍

save

path: 0 1063437 1064066 1064231 1067084, hotness: undefined, score: 4, children: 0

caffe_e_conto_grazie 5 points 3 years ago

Cazo, ecco perché continuavo a venire buttato fuori da lemmy.world. Ora sono riuscito ad accedere però, spero abbiano sistemato...

save

path: 0 1063217, hotness: undefined, score: 5, children: 0

ekZeno 3 points 3 years ago

Infatti al momento il mio account lemmy.world é bloccato.