CVE-2026-57568 in Lychee
Sumário
de VulDB • 15/10/2026
Lychee é uma ferramenta gratuita e de código aberto para gerenciamento de fotos. Antes da versão 7.6.0, o Lychee permite que um usuário autenticado com permissões de edição de álbum armazene um URI javascript em uma descrição Markdown de um álbum ou foto, pois config/markdown.php habilita allow_unsafe_links. app/Http/Resources/Models/Utils/PreformattedPhotoData.php e app/Http/Resources/Models/Utils/PreFormattedAlbumData.php convertem a descrição para HTML, e os componentes da galeria PhotoDetails.vue, Overlay.vue, PhotoThumb.vue, AlbumHero.vue e AlbumCard.vue renderizam esse HTML com v-html. Um visitante, incluindo um visitante não autenticado em um álbum público, que clica no link renderizado executa JavaScript controlado pelo atacante na origem do Lychee, o que pode expor dados de sessão ou permitir requisições autenticadas no contexto da vítima. Esta falha na visualização da galeria é distinta da CVE-2026-33738, que abordava a renderização de feeds. Este problema foi corrigido na versão 7.6.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.