CVE-2026-77467 in Lychee
Résumé
par VulDB • 15/10/2026
Lychee est un outil de gestion de photos gratuit et open source. Avant la version 7.7.0, Lychee active le support des PDF via ImageMagick avec Ghostscript, mais n'applique pas de limite effective aux dimensions des pages PDF dans `ImagickHandler::loadPdf()`. Un utilisateur authentifié capable de télécharger un petit fichier PDF contenant une balise `/MediaBox` surdimensionnée peut provoquer la consommation d'une quantité importante de CPU par `Imagick::readImage()` avant que celui-ci ne échoue à générer l'image. Lorsque `QUEUE_CONNECTION` est configuré pour le traitement synchrone, la requête peut occuper un worker web ; tandis qu'avec la configuration Docker asynchrone officielle, cela peut engorger la file d'attente partagée de traitement des images et retarder les autres tâches. L'avis n'a pas identifié de faille permettant une évasion du sandbox Ghostscript. Ce problème est corrigé dans la version 7.7.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.