プラットフォーム
javascript
コンポーネント
lila
修正版
0.0.1
Lila Chess ServerにおけるHTMLインジェクション脆弱性(CVE-2026-35208)は、承認されたストリーマーがストリームタイトルを通じて任意のHTMLを挿入できる問題です。この脆弱性は、Lichessのホームページの「ライブストリーム」ウィジェットに影響を及ぼし、潜在的なクロスサイトスクリプティング(XSS)攻撃を可能にする可能性があります。影響を受けるバージョンは0d5002696ae705e1888bf77de107c73de57bb1b3以前です。この脆弱性は修正されており、バージョン0d5002696ae705e1888bf77de107c73de57bb1b3以降で解決されています。
LichessのCVE-2026-35208は、承認されたストリーマーが、TwitchまたはYouTubeのストリームタイトルを操作することで、/streamerページやホームページの「ライブストリーム」ウィジェットに任意のHTMLを挿入することを可能にします。Lichessはインラインスクリプトの実行をブロックするコンテンツセキュリティポリシー（CSP）を実装していますが、この脆弱性はサーバーサイドのHTMLインジェクションポイントとして残っています。攻撃者は、ストリーマーの標準要件を満たし、承認されたLichessアカウント（Streamer.canApplyによると、一定期間使用されている必要がある）が必要です。HTMLインジェクションは、悪意のあるコンテンツを表示したり、ユーザーを望ましくないWebサイトにリダイレクトしたり、Lichessのコンテキスト内で他の有害なアクションを実行するために使用できます。
悪意のあるストリーマーは、この脆弱性を利用して、LichessホームページのストリームページとライブストリームウィジェットにHTMLを挿入できます。攻撃者は承認されたストリーマーアカウントが必要です。承認されると、ストリーマーはTwitchまたはYouTubeでストリームタイトルを操作して、悪意のあるHTMLコードを含めることができます。このHTMLコードは、/streamerページとライブストリームウィジェットにレンダリングされ、これらのページを訪問するユーザーに影響を与える可能性があります。CSPはスクリプトの実行をブロックしますが、HTMLインジェクションを許可するため、視覚的な操作やリダイレクトが可能になります。
エクスプロイト状況
EPSS
0.07% (21% パーセンタイル)
CISA SSVC
Lichessは、この脆弱性を修正するために修正（commit 0d5002696ae705e1888bf77de107c73de57bb1b3）を実装しました。主な軽減策は、Webページに組み込まれる前にストリームタイトルのより堅牢な検証とサニタイズです。Lichessユーザーは、この修正の恩恵を受けるために、最新バージョンのWebサイトを使用していることを確認することをお勧めします。ストリーマーは、脆弱性が修正されても、念のため、ストリームタイトルに潜在的に有害または望ましくないコンテンツを含めないようにすることをお勧めします。Lichessチームは、プラットフォームのセキュリティを監視および改善し続けています。
Actualizar a la versión 0d5002696ae705e1888bf77de107c73de57bb1b3 o superior para evitar la inyección de HTML no sanitizado en los títulos de los streams y el widget de streams en vivo. La actualización corrige la forma en que Lichess maneja los títulos de los streams, asegurando que el HTML inyectado sea correctamente sanitizado antes de ser renderizado en la interfaz de usuario.
脆弱性分析と重要アラートをメールでお届けします。
Lichessのセキュリティ脆弱性の識別子であり、任意のHTMLの挿入を可能にします。
ストリームページとライブストリームウィジェットに、望ましくない、または潜在的に悪意のあるコンテンツが表示される可能性があります。
はい、Lichessは、この脆弱性を修正するために修正をリリースしました。最新バージョンのWebサイトを使用していることを確認してください。
ブラウザを最新の状態に保ち、Lichessの最新バージョンを使用してください。ストリームページで見つけた疑わしいリンクに注意してください。
いいえ、新しいアカウントを作成する必要はありません。修正は、Lichessの最新バージョンを使用しているすべてのユーザーに適用されます。