lichess.org पर /streamer पर अनसैनिटाइज्ड स्ट्रीम टाइटल इंजेक्शन है

Lichess में CVE-2026-35208 स्वीकृत स्ट्रीमर्स को Twitch या YouTube पर अपने स्ट्रीम शीर्षक में हेरफेर करके /streamer पृष्ठों और होमपेज पर “लाइव स्ट्रीम” विजेट में मनमाना HTML इंजेक्ट करने की अनुमति देता है। हालांकि Lichess एक कंटेंट सिक्योरिटी पॉलिसी (CSP) लागू करता है जो इनलाइन स्क्रिप्ट निष्पादन को ब्लॉक करता है, यह भेद्यता अभी भी एक सर्वर-साइड HTML इंजेक्शन बिंदु के रूप में बनी हुई है। एक हमलावर को एक Lichess खाते की आवश्यकता होती है जो मानक स्ट्रीमर आवश्यकताओं को पूरा करता है और स्वीकृत होता है, जिसका अर्थ है कि खाते को कुछ समय तक उपयोग किया जाना चाहिए (Streamer.canApply के अनुसार)। HTML इंजेक्शन का उपयोग दुर्भावनापूर्ण सामग्री प्रदर्शित करने, उपयोगकर्ताओं को अवांछित वेबसाइटों पर पुनर्निर्देशित करने या Lichess के संदर्भ में अन्य हानिकारक क्रियाएं करने के लिए किया जा सकता है।

1. आरक्षित2026-04-01
2. प्रकाशित2026-04-06
3. संशोधित2026-04-07
4. EPSS अद्यतन2026-04-14

Lichess ने इस भेद्यता को संबोधित करने के लिए एक फिक्स (कमिट 0d5002696ae705e1888bf77de107c73de57bb1b3) लागू किया है। प्राथमिक शमन में वेब पृष्ठों में शामिल होने से पहले स्ट्रीम शीर्षकों का अधिक मजबूत सत्यापन और सैनिटाइजेशन शामिल है। Lichess उपयोगकर्ताओं को इस फिक्स का लाभ उठाने के लिए वेबसाइट के नवीनतम संस्करण का उपयोग करने की सलाह दी जाती है। स्ट्रीमर्स को भी सावधानी के तौर पर, भेद्यता को पैच करने के बाद भी अपने स्ट्रीम शीर्षकों में संभावित रूप से हानिकारक या अवांछित सामग्री शामिल करने से बचने की सलाह दी जाती है। Lichess टीम प्लेटफॉर्म की सुरक्षा की निगरानी और सुधार करना जारी रखती है।