Jeg har pÄ nuvÊrende tidspunkt ingen grund til at tro at Feddit.dk er pÄvirket, men det er muligt at indhold fra andre instanser er pÄvirket. Det havde blandt andet noget at gÞre med custom emojier, hvilket Feddit.dk endnu ikke bruger.

Jeg har pga. generel forsigtighed roteret den hemmelige nĂžgle Feddit.dk bruger. Det betyder at i bliver logget ud og skal logge ind igen. Muligvis skal i ogsĂ„ slette alle cookies fra Feddit.dk i jeres browser. I Firefox (bĂ„de desktop og Android) skal i klikke pĂ„ hĂŠngelĂ„s-ikonet og sĂ„ trykke “Clear cookies and site data”.

Se evt. mere information her.

VÊr ikke overrasket hvis Feddit.dk gÄr ned i noget tid i lÞbet af dagen, hvis jeg skal opdatere til en nyere version der forhindrer denne sikkerhedsfejl.

Tak til @leds for at gÞre mig opmÊrksom pÄ situationen.

  • Andreas@feddit.dk
    link
    fedilink
    dansk
    arrow-up
    2
    arrow-down
    1
    ·
    1 year ago

    Lite mer detaljerad förklaring: Det hÀr har inte med custom emojier att göra. NÀr du skriver en kommentar kan du göra formatteringstricks med Markdown, men Markdown-parseren som Lemmy anvÀnder konverterar inte innehÄllet till plaintext nÀr den lagras i databasen, vilket gör det möjligt att gömma körbara skript i en kommentar.

    Hackaren lÀnkade bilder i kommentarerna vars alternativtext innehÄller skriptet som stjÀl autentiseringsnyckeln av anvÀndare som laddar kommentaren. Med den metoden fick hackaren tillgÄng till en av adminernas konton och la till bilden med skriptet i lemmy.world:s sidebar, sÄ alla inloggade anvÀndare skulle fÄ sin nyckel stulen (eftersom sidebaren laddas pÄ varje sida).

    Admin kan lÀgga till script-src 'self' 'nonce-$RANDOM' till instansens Content Security Policy pÄ proxyservern för att blockera körbara skript pÄ sidan.

    • SorteKanin@feddit.dkOPM
      link
      fedilink
      dansk
      arrow-up
      2
      ·
      1 year ago

      SÄ vidt jeg forstÄr har det noget med custom emojier at gÞre, fordi de bruger en specialiseret markdown-rendering, som desvÊrre har denne sikkerhedsbrist. Normalt markdown rendering skulle vÊre okay.

        • SorteKanin@feddit.dkOPM
          link
          fedilink
          dansk
          arrow-up
          2
          ·
          1 year ago

          Ja, men det er sÄ vidt jeg forstÄr kun custom emojis der bruger den markdown-renderer og det er kun hvis det er lokale custom emojis - custom emojis fra andre instanser skulle ikke vÊre et problem, sÄ vidt jeg kan se.

          Beklager, men jeg sletter altsÄ lige din kommentar da jeg ikke vil have instruktioner eller linket til den side stÄende.

          • Andreas@feddit.dk
            link
            fedilink
            dansk
            arrow-up
            1
            ·
            1 year ago

            Ingen fara, jag postade bilden eftersom skriptet Àr dolt (det visas bara de första fÄ tecken men jag kan förstÄ hur andra skulle kunna klura ut tricket hÀr dÄ det finns andra bilder med hela skriptet inuti). Det Àr samma Markdown-renderen med stöd för custom emojier som anvÀnds i alla textfÀlt pÄ Lemmy. Alla fÀlt som visar text pÄ 0.18-instanser och senare Àr sÄrbara för attacken om det inte införs en Content Security Policy som blockerar körbara skript.

        • SorteKanin@feddit.dkOPM
          link
          fedilink
          dansk
          arrow-up
          3
          ·
          edit-2
          1 year ago

          Ikke noget jeg kender til. SpÞrgsmÄlet er vel ogsÄ om den skulle betales af udviklerne eller enkelte instanser. Men mÄske udviklerne giver bedst mening. Men altsÄ. Det er jo ikke for-profit. Hvis man finder en fejl synes jeg da bare man bÞr rette den.

          • Kresten@feddit.dk
            link
            fedilink
            dansk
            arrow-up
            1
            ·
            1 year ago

            helt enig, men de har et budget, hvor det kunne give mening. DesvÊrre er det jo sÄdan at ikke alle er lige godhjertede, og talentet nogle gange findes hos det modsatte team. Ville helt klart mene det ville lÊgge hos udviklerne, med mindre sikkerhedsfejlen er instans-specifik