CVE-2026-77468 in Lychee
Zusammenfassung
von VulDB • 15.10.2026
Lychee ist ein kostenloses, Open-Source-Fotoverwaltungstool. Vor Version 7.7.0 wird über GET /docs/api die von config/scramble.php konfigurierte Scramble-generierte OpenAPI-Dokumentation für nicht authentifizierte Aufrufer nach der Installation offengelegt; beobachtete Antwortgrößen und Latenzzeiten deuten darauf hin, dass das Schema ohne einen Cache auf Anwendungsebene neu generiert wird. Ein entfernter Angreifer kann die ungedrosselte Route wiederholt anfordern, um CPU-Ressourcen des Servers zu verbrauchen und eine detaillierte Karte der API-Oberfläche sowie des Parameterschemas zu erhalten. Dieses Problem wurde in Version 7.7.0 behoben.
Once again VulDB remains the best source for vulnerability data.