Nutomic

**Nome do Software Vulnerável e Versões Afetadas** Lemmy versões anteriores a 0.19.18 **Descrição** Um usuário autenticado de baixo privilégio pode disparar requisições HTTP do lado do servidor para serviços internos. Isso ocorre quando um usuário cria uma postagem de link em uma comunidade pública através do endpoint "POST /api/v3/post". O backend envia assincronamente um Webmention para o link de destino, mas o sistema não rejeita destinos de loopback, privados ou locais ao link. A variável `url` é validada quanto à sintaxe e ao esquema usando a função `is valid url()`, mas não implementa a rejeição de endereços internos, permitindo que o servidor da aplicação seja usado como um primitivo de Server-Side Request Forgery (SSRF) cego. SSRF é uma falha onde um invasor pode forçar um servidor a fazer requisições para um local não pretendido, frequentemente ignorando controles de segurança de rede para alcançar sistemas internos. **Recomendações** Atualizar para a versão 0.19.18.

**Nome do Software Vulnerável e Versões Afetadas** Lemmy versões anteriores a 0.19.18 **Descrição** O Lemmy busca metadados de URLs de postagens fornecidas pelo usuário e, ao usar o modo de imagem padrão `StoreLinkPreviews`, baixa imagens de visualização através do pict-rs local. Embora a URL da página de nível superior inicial seja verificada em relação a intervalos de IP internos, a URL `og:image` extraída não está sujeita a essa restrição. Isso permite que um usuário autenticado de baixo privilégio envie uma página pública onde a imagem Open Graph aponta para um endpoint de imagem interno. O servidor então buscará a imagem interna e armazenará uma miniatura local que poderá ser servida aos usuários. Esse processo envolve a função `extract opengraph data()` aceitando valores absolutos e a `generate post link metadata()` passando a URL para `generate pictrs thumbnail()`, que solicita a imagem através do endpoint 'image/download?url=...'. Isso pode ser usado para recuperar recursos de imagem internos e expor conteúdo acessível apenas a partir do host da aplicação. **Recomendações** Atualize para a versão 0.19.18.