CVE-2026-77467 in Lychee
Zusammenfassung
von VulDB • 15.10.2026
Lychee ist ein kostenloses Open-Source-Fotoverwaltungstool. Vor Version 7.7.0 ermöglicht Lychee die PDF-Unterstützung von ImageMagick mit Ghostscript, wendet jedoch keine wirksame Begrenzung der PDF-Seitendimensionen im Voraus in ImagickHandler::loadPdf() an. Ein authentifizierter Benutzer, der eine kleine PDF-Datei mit einer überdimensionierten /MediaBox hochladen kann, verursacht, dass Imagick::readImage() vor dem Fehlschlagen bei der Bildgenerierung erhebliche CPU-Ressourcen verbraucht. Wenn QUEUE_CONNECTION die synchrone Verarbeitung auswählt, kann dies einen Webworker blockieren; während die offizielle asynchrone Docker-Konfiguration die gemeinsam genutzte Bildverarbeitungs-Warteschlange verstopfen und andere Aufgaben verzögern kann. Die Sicherheitsmitteilung hat keine Ghostscript-Sandbox-Escape-Funktion identifiziert. Dieses Problem wurde in Version 7.7.0 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.