Jeg har pÄ nuvÊrende tidspunkt ingen grund til at tro at Feddit.dk er pÄvirket, men det er muligt at indhold fra andre instanser er pÄvirket. Det havde blandt andet noget at gÞre med custom emojier, hvilket Feddit.dk endnu ikke bruger.

Jeg har pga. generel forsigtighed roteret den hemmelige nĂžgle Feddit.dk bruger. Det betyder at i bliver logget ud og skal logge ind igen. Muligvis skal i ogsĂ„ slette alle cookies fra Feddit.dk i jeres browser. I Firefox (bĂ„de desktop og Android) skal i klikke pĂ„ hĂŠngelĂ„s-ikonet og sĂ„ trykke “Clear cookies and site data”.

Se evt. mere information her.

VÊr ikke overrasket hvis Feddit.dk gÄr ned i noget tid i lÞbet af dagen, hvis jeg skal opdatere til en nyere version der forhindrer denne sikkerhedsfejl.

Tak til @leds for at gÞre mig opmÊrksom pÄ situationen.

  • Andreas@feddit.dkdansk
    1·
    1 year ago

    Lite mer detaljerad förklaring: Det hÀr har inte med custom emojier att göra. NÀr du skriver en kommentar kan du göra formatteringstricks med Markdown, men Markdown-parseren som Lemmy anvÀnder konverterar inte innehÄllet till plaintext nÀr den lagras i databasen, vilket gör det möjligt att gömma körbara skript i en kommentar.

    Hackaren lÀnkade bilder i kommentarerna vars alternativtext innehÄller skriptet som stjÀl autentiseringsnyckeln av anvÀndare som laddar kommentaren. Med den metoden fick hackaren tillgÄng till en av adminernas konton och la till bilden med skriptet i lemmy.world:s sidebar, sÄ alla inloggade anvÀndare skulle fÄ sin nyckel stulen (eftersom sidebaren laddas pÄ varje sida).

    Admin kan lÀgga till script-src 'self' 'nonce-$RANDOM' till instansens Content Security Policy pÄ proxyservern för att blockera körbara skript pÄ sidan.

    • SorteKanin@feddit.dkOPMdansk
      1·
      1 year ago

      SÄ vidt jeg forstÄr har det noget med custom emojier at gÞre, fordi de bruger en specialiseret markdown-rendering, som desvÊrre har denne sikkerhedsbrist. Normalt markdown rendering skulle vÊre okay.

        • SorteKanin@feddit.dkOPMdansk
          1·
          1 year ago

          Ja, men det er sÄ vidt jeg forstÄr kun custom emojis der bruger den markdown-renderer og det er kun hvis det er lokale custom emojis - custom emojis fra andre instanser skulle ikke vÊre et problem, sÄ vidt jeg kan se.

          Beklager, men jeg sletter altsÄ lige din kommentar da jeg ikke vil have instruktioner eller linket til den side stÄende.

          • Andreas@feddit.dkdansk
            1·
            1 year ago

            Ingen fara, jag postade bilden eftersom skriptet Àr dolt (det visas bara de första fÄ tecken men jag kan förstÄ hur andra skulle kunna klura ut tricket hÀr dÄ det finns andra bilder med hela skriptet inuti). Det Àr samma Markdown-renderen med stöd för custom emojier som anvÀnds i alla textfÀlt pÄ Lemmy. Alla fÀlt som visar text pÄ 0.18-instanser och senare Àr sÄrbara för attacken om det inte införs en Content Security Policy som blockerar körbara skript.