CVE-2026-57568
Təsvir
Lychee pulsuz və açıq mənbəli foto-idarəetmə alətidir. 7.6.0 versiyasından əvvəl Lychee, albomu redaktə etmə icazələri olan autentifikasiya olunmuş istifadəçinin albom və ya foto Markdown təsvirində javascript URI saxlamasına icazə verir, çünki config/markdown.php faylında allow_unsafe_links aktivdir. app/Http/Resources/Models/Utils/PreformattedPhotoData.php və app/Http/Resources/Models/Utils/PreFormattedAlbumData.php faylları təsviri HTML-ə çevirir və qalereya komponentləri PhotoDetails.vue, Overlay.vue, PhotoThumb.vue, AlbumHero.vue və AlbumCard.vue həmin HTML-i v-html ilə render edir. İctimai alboma daxil olan autentifikasiya olunmamış istifadəçi də daxil olmaqla, render edilmiş linkə klikləyən hər hansı ziyarətçi, hücum edən tərəfindən idarə olunan JavaScript kodunu Lychee mənşəyində icra edir ki, bu da sessiya məlumatlarının ifşa olmasına və ya qurbanın kontekstində autentifikasiya olunmuş sorğuların göndərilməsinə şərait yarada bilər. Qalereya görünüşü ilə bağlı olan bu çatışmazlıq, axın (feed) renderini əhatə edən CVE-2026-33738-dən fərqlidir. Bu problem 7.6.0 versiyasında düzəldilmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| LycheeOrg Lychee | < 7.6.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.