CVE-2026-35208
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
Lichess.org przed commit 0d5002696ae705e1888bf77de107c73de57bb1b3 zawiera podatność na wstrzyknięcie HTML po stronie serwera. Zatwierdzeni streamerzy mogą wstrzyknąć dowolny HTML w tytuł swojego streama na Twitchu/YouTubie, który jest renderowany na stronie streamera i widżecie 'Live streams' na stronie głównej.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy HTML, co może prowadzić do ataków phishingowych lub defacementu strony, mimo że CSP blokuje wykonanie skryptów inline.
Rekomendacja
Zaktualizuj Lichess do wersji zawierającej commit 0d5002696ae705e1888bf77de107c73de57bb1b3, który naprawia tę podatność.
Oryginalny opis (angielski, źródło NVD)
lichess.org is the forever free, adless and open source chess server. Any approved streamer can inject arbitrary HTML into /streamer and the homepage “Live streams” widget by placing markup in their Twitch/YouTube stream title. CSP is present and blocks inline script execution, but the issue is still a server-side HTML injection sink. To trigger this, a Lichess account only needs to satisfy the normal streamer requirements and get approved. Per Streamer.canApply, that means an account older than 2 days with at least 15 games, or a verified/titled account. After moderator approval, once the streamer goes live, Lichess pulls the platform title and renders it into the UI as-is. No extra privileges are needed beyond a normal approved streamer profile. This vulnerability is fixed with commit 0d5002696ae705e1888bf77de107c73de57bb1b3.