Αν κατάλαβα καλά υπήρχε ένα κενό ασφαλείας στο lemmy με τα custom emojis και επηρέαζε όσα lemmy instances είχαν αυτή τη δυνατότητα. Έχει διορθωθεί πλέον.
Όσοι είμαστε στο kbin δεν νομίζω να μας επηρεάζει.

Περισσότερες λεπτομέρειες:
https://lemmy.world/post/1290412
https://lemmy.world/post/1293336

xss επίθεση βάση των custom emojis στο lemmy.world και σε άλλο ένα instance. Η επίθεση ήταν βασισμένη στο UI του Lemmy και όχι στο ίδιο το Lemmy ως “πρωτόκολλο”.

Πρακτικά βάση custom emoji, έβλεπες ένα πόστ και ο κώδικας έκλεβε το session cookie και το χρησιμοποιούσε και έμπαινε κανονικά στον λογαριασμό σου. Ακόμα χειρότερα, κατάφερε και πήρε το μπισκότο ενός admin, και τα έκανε όλα χάλια ( πχ το είχε βάλει να κάνει redirect το lemmy.world σε random sites με Gay porn, Israel κτλπ κτλπ. )Και το χειρότερο: Κόψανε από ομοσπονδία όλα τα instances και αφήσαν μόνο αυτό του Threads του Instagram.

Ο τρόπος που δούλευε το exploit δεν μπορούσε να φύγει σε άλλη ομοσπονδία, όμως όσοι είχαν ενεργοποιημένα τα custom emojis, κινδύνευαν.

Μάλιστα, κάποιος έξυπνος ανέβασε ως pull request διόρθωση για το exploit δημόσια, πριν patchαριστούν τα υπόλοιπα instances, ανεβάζοντας περισσότερο τον κίνδυνο.

Η επίθεση αφορούσε cookies, συνεπώς δεν έγινε κάποιο leak σε επίπεδο κωδικών (έστω και hashαρισμένων). Ήταν όλα στο επίπεδο του UI. Συνεπώς απλά με ένα εκ νέου login, όλα είναι οκέι!