VULNERABILIDAD
CVE-2026-57568 XSS almacenado mediante enlaces Markdown javascript: en descripciones de fotos y álbumes de Lychee
En Lychee anterior a 7.6.0, un usuario autenticado con permisos de edición de álbumes puede almacenar una URI javascript: en la descripción Markdown de un álbum o foto porque config/markdown.php habilita allow_unsafe_links, y los componentes de la galería renderizan ese HTML con v-html. Un visitante, incluso no autenticado en un álbum público, que haga clic en el enlace ejecuta JavaScript controlado por el atacante en el origen de Lychee, lo que puede exponer datos de sesión o permitir peticiones autenticadas en…
Alerta de Nureq Monitor
Detectada 15 OCT · 15:48
CVSS 4.0
5.7MEDIAPROBABILIDAD DE EXPLOTACIÓN (EPSS)
0,3 % PERCENTIL 19
EXPLOTACIÓN ACTIVA
No confirmada
EXPLOIT PÚBLICO
No conocido
Qué es CVE-2026-57568
En Lychee anterior a 7.6.0, un usuario autenticado con permisos de edición de álbumes puede almacenar una URI javascript: en la descripción Markdown de un álbum o foto porque config/markdown.php habilita allow_unsafe_links, y los componentes de la galería renderizan ese HTML con v-html. Un visitante, incluso no autenticado en un álbum público, que haga clic en el enlace ejecuta JavaScript controlado por el atacante en el origen de Lychee, lo que puede exponer datos de sesión o permitir peticiones autenticadas en…
Productos y versiones afectadas
LycheeOrg Lychee
Qué hacer
- Verificá si usás Lychee y en qué versión: el rango afectado figura arriba.
- Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
- Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.
Calculadora CVSS
CVSS 4.0 · 5.7 MEDIA
CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:A/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N
- VECTOR DE ATAQUE (AV)
- Red
- COMPLEJIDAD DEL ATAQUE (AC)
- Baja
- REQUISITOS DEL ATAQUE (AT)
- Presentes
- PRIVILEGIOS REQUERIDOS (PR)
- Bajos
- INTERACCIÓN DEL USUARIO (UI)
- Activa
- CONFIDENCIALIDAD (SISTEMA VULNERABLE) (VC)
- Alta
- INTEGRIDAD (SISTEMA VULNERABLE) (VI)
- Ninguna
- DISPONIBILIDAD (SISTEMA VULNERABLE) (VA)
- Ninguna
- CONFIDENCIALIDAD (SISTEMAS POSTERIORES) (SC)
- Ninguna
- INTEGRIDAD (SISTEMAS POSTERIORES) (SI)
- Ninguna
- DISPONIBILIDAD (SISTEMAS POSTERIORES) (SA)
- Ninguna
Abrir la calculadora completa →
Descripción original
Lychee is a free, open-source photo-management tool. Prior to 7.6.0, Lychee permits an authenticated user with album-edit permissions to store a javascript URI in an album or photo Markdown description because config/markdown.php enables allow_unsafe_links. app/Http/Resources/Models/Utils/PreformattedPhotoData.php and app/Http/Resources/Models/Utils/PreFormattedAlbumData.php convert the description to HTML, and the gallery components PhotoDetails.vue, Overlay.vue, PhotoThumb.vue, AlbumHero.vue, and AlbumCard.vue render that HTML with v-html. A visitor, including an unauthenticated visitor to a public album, who clicks the rendered link executes attacker-controlled JavaScript in the Lychee origin, which can expose session data or enable authenticated requests in the victim's context. This gallery-view flaw is distinct from CVE-2026-33738, which addressed feed rendering. This issue is fixed in version 7.6.0.
Referencias
- github.com/LycheeOrg/Lychee/security/advisories/GHSA-pgfr-x389-5p2hX_REFSOURCE_CONFIRM
- github.com/LycheeOrg/Lychee/pull/4377X_REFSOURCE_MISC
- github.com/LycheeOrg/Lychee/commit/f0604ead5889bfed404d6f5e1a9205f945172c7eX_REFSOURCE_MISC
- github.com/LycheeOrg/Lychee/releases/tag/v7.6.0X_REFSOURCE_MISC
Historial de la alerta
- VULNERABILIDAD Nueva vulnerabilidad detectada.
CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.