CVE-2026-57569 in Lychee
要約
〜によって VulDB • 2026年10月15日
Lycheeは、無料のオープンソースな写真管理ツールです。バージョン7.6.0より前では、POST /api/v2/Photo::fromUrlフローにおいてapp/Rules/PhotoUrlRule.phpでホスト名とその解決済みアドレスが検証されますが、その後、元のホスト名がapp/Actions/Import/FromUrl.phpを経てapp/Image/Files/DownloadedFile.phpに渡され、fopen接続が行われます。DNS応答を操作できる認証済みの攻撃者は、検証時に公開アドレスを観測させ、その後のフェッチで同じホスト名をプライベートまたはそれ以外の禁止されたアドレスへと解決させることができます。このDNSリバインディングによるチェック時と使用時の不一致（time-of-check to time-of-use mismatch）により、意図されたサーバーサイドリクエストフォージェリ（SSRF）の保護が回避され、デプロイメントやTLSの動作に依存しつつもLycheeサーバからアクセス可能なサービスへ到達することが可能です。この問題はバージョン7.6.0で修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.