CVE-2026-57569
Açıklama
Lychee ücretsiz ve açık kaynaklı bir fotoğraf yönetim aracıdır. 7.6.0 sürümünden önce, POST /api/v2/Photo::fromUrl akışı, app/Rules/PhotoUrlRule.php içerisinde bir ana makine adını (hostname) ve çözümlenen adreslerini doğrular ancak daha sonra orijinal ana makine adını ayrı bir fopen bağlantısı için app/Actions/Import/FromUrl.php üzerinden app/Image/Files/DownloadedFile.php'ye iletir. DNS yanıtlarını kontrol eden kimliği doğrulanmış bir saldırgan, doğrulamanın genel bir adresi görmesini ve ardından gelen getirmenin aynı ana makine adını özel veya yasaklanmış bir adrese çözümlemesini sağlayabilir. Bu DNS rebinding zamanı-kontrolü ile zamanı-kullanımı (time-of-check to time-of-use) uyumsuzluğu, amaçlanan sunucu tarafı istek sahteciliği (SSRF) korumalarını atlatır ve dağıtıma ve TLS davranışına bağlı olarak Lychee sunucusundan erişilebilen servislere ulaşabilir. Bu sorun 7.6.0 sürümünde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| LycheeOrg Lychee | < 7.6.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.