Lichess — injection HTML/CSS dans les études

Veille sécuritéFrontend

P4Moyenne

Lichess permet à un utilisateur pouvant ajouter un chapitre à une étude d’injecter du HTML et du CSS via le champ PGN Annotator, rendu sans échappement dans la vue d’analyse. L’ouverture de l’étude peut entraîner une usurpation de contenu, une navigation vers un site contrôlé par l’attaquant ou une exposition de données par CSS; la politique CSP bloque l’exécution de JavaScript injecté.

IdentifiantCVE-2026-103974

GravitéMoyenne

Exploitationnon connue / non déterminée

Correctifc54596c9e1569d378fe20f80d4c790c6fdee54c4

Source : NVD — CVE-2026-103974

Analyse technique

Avec au moins deux commentaires dans un nœud d’étude, l’auteur du commentaire est interpolé sans échappement dans du HTML transmis à innerHTML. L’impact décrit est une injection HTML/CSS, et non l’exécution de JavaScript.

Impact, versions et correctif

Événement datéLa fiche NVD indique une publication le 2026-10-14; la vulnérabilité nouvellement documentée est retenue dans la période.

ImpactUsurpation de contenu, navigation non souhaitée et exposition de données par CSS; la CSP empêche l’exécution du JavaScript injecté.

Versions affectéesVersions antérieures au commit c54596c9e1569d378fe20f80d4c790c6fdee54c4

Version corrigéec54596c9e1569d378fe20f80d4c790c6fdee54c4

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS5.4

Publication2026-10-14T19:17:07.843Z

Mise à jour2026-10-14T20:17:29.167Z

Action recommandée

Mettre à jour vers une version intégrant le commit correctif indiqué par Lichess.

Sources

NVD — CVE-2026-103974

Priorisation DFS : P4 · 1 source(s).