CVE-2026-57568 in Lychee
الملخص
بحسب VulDB • 15/10/2026
Lychee هو أداة مجانية ومفتوحة المصدر لإدارة الصور. قبل الإصدار 7.6.0، يسمح Lychee لمستخدم مُصادق عليه يمتلك صلاحيات تعديل الألبوم بتخزين رابط URI يحتوي على JavaScript في وصف ألبوم أو صورة بتنسيق Markdown، وذلك لأن ملف config/markdown.php يفعّل خيار allow_unsafe_links. تقوم الملفات app/Http/Resources/Models/Utils/PreformattedPhotoData.php وapp/Http/Resources/Models/Utils/PreFormattedAlbumData.php بتحويل الوصف إلى HTML، وتقوم مكونات المعرض PhotoDetails.vue وOverlay.vue وPhotoThumb.vue وAlbumHero.vue وAlbumCard.vue بعرض هذا الـHTML باستخدام v-html. يقوم زائر (بمن في ذلك الزوار غير المُصادق عليهم الذين يتصفحون ألبوماً عاماً) بتنفيذ شيفرة JavaScript خاضعة لسيطرة المهاجم ضمن أصل Lychee عند النقر على الرابط المعروض، مما قد يؤدي إلى كشف بيانات الجلسة أو تمكين طلبات مُصادق عليها في سياق الضحية. هذا الخلل في عرض المعرض يختلف عن CVE-2026-33738 الذي عالج مشكلة عرض التغذية (feed). تمت معالجة هذه المشكلة في الإصدار 7.6.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.