CVE-2025-53018
Açıklama
Lychee, ücretsiz ve açık kaynaklı bir fotoğraf yönetim aracıdır. Versiyon 6.6.13 öncesinde, `/api/v2/Photo::fromUrl` uç noktasında kritik bir Sunucu Taraflı İstek Sahteciliği (SSRF) zafiyeti bulunmaktadır. Bu açık, bir saldırganın uygulamanın arka ucuna seçtikleri herhangi bir URL'ye HTTP istekleri yapması için talimat vermesine olanak tanır. Sonuç olarak, localhost servisleri veya bulut sağlayıcı meta veri uç noktaları gibi dahili ağ kaynaklarına erişilebilir hale gelir. Uç nokta, kullanıcıdan bir URL alır ve bunu herhangi bir koruma olmaksızın sunucu tarafında fopen() aracılığıyla çağırır. Herhangi bir IP adresi doğrulaması, izin listesi, zaman aşımı veya boyut kısıtlaması bulunmamaktadır. Bu nedenle, saldırganlar uygulamayı dahili hedeflere yönlendirebilir. Bir saldırgan bu açığı kullanarak dahili port taramaları gerçekleştirebilir veya hassas bulut meta verilerini elde edebilir. Versiyon 6.6.13, bu sorun için bir yama içermektedir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| LycheeOrg Lychee | < 6.6.13 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.