CVE-2026-103974
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
lichess.org to zawsze darmowy, pozbawiony reklam i otwarty serwer szachowy. Przed zatwierdzeniem c54596c9e1569d378fe20f80d4c790c6fdee54c4 użytkownik, który może dodać rozdział do badania, może umieścić tekst kontrolowany przez osobę atakującą w tagu PGN Annotator, który staje się komentarzem.Author.External i jest zwracany dosłownie przez autoraText. Gdy węzeł badania ma co najmniej dwa komentarze, ui/analyse/src/treeView/inlineView.ts interpoluje ten ciąg autora do kodu HTML przekazywanego do haka internalHTML bez ucieczki z niego. Otwarcie badania, którego dotyczy problem, może zatem spowodować wyświetlenie przechowywanego kodu HTML i CSS kontrolowanego przez osobę atakującą dla innych przeglądających, w tym nawigację do witryny kontrolowanej przez osobę atakującą, fałszowanie treści i ujawnienie danych w oparciu o CSS, chociaż zasady bezpieczeństwa treści witryny blokują wstrzykiwanie kodu JavaScript. Ta luka została naprawiona poprzez zatwierdzenie c54596c9e1569d378fe20f80d4c790c6fdee54c4.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org