CVE-2026-103974
Beschrijving NL
lichess.org is de voor altijd gratis, adless en open source schaakserver. Voorafgaand aan het vastleggen van c54596c9e1569d378fe20f80d4c790c6fdee54c4, kan een gebruiker die een hoofdstuk aan een studie kan toevoegen, aanvallergestuurde tekst in de PGN-annotatortag plaatsen, die Comment.Author.External wordt en woordelijk door de auteur wordt geretourneerdTekst. Wanneer een studieknooppunt ten minste twee opmerkingen heeft, interpoleert ui/analyse/src/treeView/inlineView.ts die auteurstring in HTML die is doorgegeven aan de innerlijkeHTML-haak zonder eraan te ontsnappen. Het openen van de betreffende studie kan daarom opgeslagen door aanvallers gecontroleerde HTML en CSS voor andere kijkers weergeven, inclusief navigatie naar een door aanvallers gecontroleerde site, spoofing van inhoud en CSS-gebaseerde gegevensblootstelling, hoewel het inhoudsbeveiligingsbeleid van de site JavaScript blokkeert. Dit beveiligingslek is opgelost door commit c54596c9e1569d378fe20f80d4c790c6fdee54c4.
Origineel (Engels) tonen
lichess.org is the forever free, adless and open source chess server. Prior to commit c54596c9e1569d378fe20f80d4c790c6fdee54c4, a user who can add a chapter to a study can place attacker-controlled text in the PGN Annotator tag, which becomes Comment.Author.External and is returned verbatim by authorText. When a study node has at least two comments, ui/analyse/src/treeView/inlineView.ts interpolates that author string into HTML passed to the innerHTML hook without escaping it. Opening the affected study can therefore render stored attacker-controlled HTML and CSS for other viewers, including navigation to an attacker-controlled site, content spoofing, and CSS-based data exposure, although the site's content security policy blocks injected JavaScript. This vulnerability is fixed by commit c54596c9e1569d378fe20f80d4c790c6fdee54c4.