CVE-2026-35208
Açıklama
lichess.org; tamamen ücretsiz, reklamsız ve açık kaynaklı bir satranç sunucusudur. Onaylanmış herhangi bir yayıncı, Twitch/YouTube yayın başlığına işaretleme yerleştirerek /streamer sayfasına ve ana sayfadaki “Live streams” bileşenine rastgele HTML enjekte edebilir. CSP mevcuttur ve satır içi betik yürütülmesini engeller, ancak sorun hala sunucu tarafında bir HTML injection açığıdır. Bunu tetiklemek için bir Lichess hesabının yalnızca normal yayıncı gereksinimlerini karşılaması ve onay alması gerekir. Streamer.canApply'a göre bu, en az 15 oyunu olan 2 günden eski bir hesap veya doğrulanmış/unvanlı bir hesap anlamına gelir. Moderatör onayından sonra, yayıncı canlı yayına geçtiğinde Lichess platform başlığını çeker ve olduğu gibi kullanıcı arayüzüne işler. Normal onaylı bir yayıncı profili dışında ek bir ayrıcalığa ihtiyaç yoktur. Bu güvenlik açığı 0d5002696ae705e1888bf77de107c73de57bb1b3 commit'i ile düzeltilmiştir.
Nasıl düzeltilir
- lichess lila2026-03-31 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| lichess lila | v < 2026-03-31 | 2026-03-31 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.