PT-2026-115019 · Lycheeorg+1 · Lychee
CVE-2026-57568
·
تاريخ النشر
2026-10-15
·
تاريخ التحديث
2026-10-15
CVSS v4.0
5.7
متوسطة
| المتجه | AV:N/AC:L/AT:P/PR:L/UI:A/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N |
اسم البرنامج المصاب والإصدارات المتأثرة
Lychee الإصدارات السابقة لـ 7.6.0
Description
يمكن لمستخدم مصرح له يمتلك صلاحيات تحرير الألبومات تخزين URI من نوع javascript في وصف Markdown للألبوم أو الصورة. يحدث هذا بسبب تفعيل إعداد
allow unsafe links في ملف config/markdown.php. تقوم الملفات app/Http/Resources/Models/Utils/PreformattedPhotoData.php و app/Http/Resources/Models/Utils/PreFormattedAlbumData.php بتحويل هذه الأوصاف إلى HTML، والتي يتم عرضها بعد ذلك باستخدام v-html في مكونات المعرض PhotoDetails.vue و Overlay.vue و PhotoThumb.vue و AlbumHero.vue و AlbumCard.vue. عند قيام الزائر، بما في ذلك الزوار غير المصرح لهم الذين يشاهدون ألبومات عامة، بالنقر فوق الرابط المعروض، يتم تنفيذ JavaScript يتحكم فيه المهاجم في أصل Lychee، مما قد يؤدي إلى كشف بيانات الجلسة أو تمكين طلبات مصرح بها في سياق الضحية.Recommendations
التحديث إلى الإصدار 7.6.0.
استغلال
إصلاح
XSS
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
تصنيف نقاط الضعف
المعرّفات ذات الصلة
المنتجات المتأثرة
Lychee