CVE-2026-57568
Açıklama
Lychee, ücretsiz ve açık kaynaklı bir fotoğraf yönetim aracıdır. 7.6.0 sürümünden önce Lychee, albüm düzenleme izinlerine sahip kimliği doğrulanmış bir kullanıcının, config/markdown.php dosyasındaki allow_unsafe_links seçeneği etkin olduğu için bir albüm veya fotoğraf Markdown açıklamasında javascript URI depolamasına izin verir. app/Http/Resources/Models/Utils/PreformattedPhotoData.php ve app/Http/Resources/Models/Utils/PreFormattedAlbumData.php dosyaları açıklamayı HTML'e dönüştürür ve galeri bileşenleri olan PhotoDetails.vue, Overlay.vue, PhotoThumb.vue, AlbumHero.vue ve AlbumCard.vue bu HTML'i v-html ile işler. Genel bir albüme erişen kimliği doğrulanmamış ziyaretçiler de dahil olmak üzere, oluşturulan bağlantıya tıklayan bir ziyaretçi, saldırgan tarafından kontrol edilen JavaScript kodunu Lychee kaynağında çalıştırır; bu durum oturum verilerinin ifşa olmasına veya kurbanın bağlamında kimliği doğrulanmış isteklerin gerçekleştirilmesine neden olabilir. Bu galeri görünümü hatası, besleme işlemini ele alan CVE-2026-33738'den farklıdır. Bu sorun 7.6.0 sürümünde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| LycheeOrg Lychee | < 7.6.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.