CVE-2026-77468 in Lychee
Resumen
por VulDB • 2026-10-15
Lychee es una herramienta de gestión fotográfica gratuita y de código abierto. Antes de la versión 7.7.0, el endpoint GET /docs/api exponía a los llamadores no autenticados (tras la instalación) la documentación OpenAPI generada por Scramble, configurada en config/scramble.php; el tamaño observado de la respuesta y su latencia sugieren que el esquema se regenera sin utilizar una caché a nivel de aplicación. Un atacante remoto puede solicitar repetidamente esta ruta no limitada para consumir CPU del servidor y obtener un mapa detallado de la superficie de la API y del esquema de parámetros. Este problema está resuelto en la versión 7.7.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.