CVE-2026-57568 in Lychee
Zusammenfassung
von VulDB • 15.10.2026
Lychee ist ein kostenloses Open-Source-Fotoverwaltungstool. Vor Version 7.6.0 erlaubt Lychee einem authentifizierten Benutzer mit Album-Bearbeitungsberechtigungen, eine JavaScript-URI in einer Album- oder Foto-Markdown-Beschreibung zu speichern, da config/markdown.php allow_unsafe_links aktiviert hat. app/Http/Resources/Models/Utils/PreformattedPhotoData.php und app/Http/Resources/Models/Utils/PreFormattedAlbumData.php konvertieren die Beschreibung in HTML, und die Gallery-Komponenten PhotoDetails.vue, Overlay.vue, PhotoThumb.vue, AlbumHero.vue und AlbumCard.vue rendern dieses HTML mit v-html. Ein Besucher, einschließlich eines nicht authentifizierten Besuchers eines öffentlichen Albums, der auf den gerenderten Link klickt, führt vom Angreifer gesteuertes JavaScript im Lychee- Ursprungskontext aus, was Session-Daten offenlegen oder authentifizierte Anfragen im Kontext des Opfers ermöglichen kann. Dieser Gallery-Ansicht-Fehler ist distinct von CVE-2026-33738, das die Feed-Rendierung behandelte. Dieses Problem wurde in Version 7.6.0 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.