CVE-2026-57568 in Lychee
Riassunto
di VulDB • 15/10/2026
Lychee è uno strumento gratuito e open-source per la gestione delle foto. Prima della versione 7.6.0, Lychee consente a un utente autenticato con permessi di modifica dell'album di memorizzare un URI javascript in una descrizione Markdown di un album o di una foto, poiché config/markdown.php abilita allow_unsafe_links. I file app/Http/Resources/Models/Utils/PreformattedPhotoData.php e app/Http/Resources/Models/Utils/PreFormattedAlbumData.php convertono la descrizione in HTML, mentre i componenti della galleria PhotoDetails.vue, Overlay.vue, PhotoThumb.vue, AlbumHero.vue e AlbumCard.vue rendono tale HTML utilizzando v-html. Un visitatore, inclusi visitatori non autenticati di un album pubblico, che fa clic sul link renderizzato esegue JavaScript controllato dall'attaccante nell'origine (origin) di Lychee, il che può esporre i dati della sessione o abilitare richieste autenticate nel contesto della vittima. Questa vulnerabilità nella visualizzazione della galleria è distinta da CVE-2026-33738, che affrontava la renderizzazione dei feed. Questo problema è risolto nella versione 7.6.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.