CVE-2026-57568

Nome do Software Vulnerável e Versões Afetadas Lychee versões anteriores a 7.6.0

Description Um usuário autenticado com permissões de edição de álbum pode armazenar uma URI de javascript em uma descrição Markdown de álbum ou foto. Isso ocorre porque a configuração allow unsafe links em config/markdown.php está habilitada. Os arquivos app/Http/Resources/Models/Utils/PreformattedPhotoData.php e app/Http/Resources/Models/Utils/PreFormattedAlbumData.php convertem as descrições em HTML, que são então renderizadas usando v-html nos componentes de galeria PhotoDetails.vue, Overlay.vue, PhotoThumb.vue, AlbumHero.vue e AlbumCard.vue. Um visitante, incluindo usuários não autenticados que visualizam álbuns públicos, ao clicar no link renderizado, executará JavaScript controlado pelo invasor na origem do Lychee, o que pode expor dados de sessão ou permitir requisições autenticadas no contexto da vítima.

Recommendations Atualizar para a versão 7.6.0.