CVE-2026-57568 in Lychee
요약
\~에 의해 VulDB • 2026. 10. 15.
Lychee는 무료 오픈소스 사진 관리 도구입니다. 버전 7.6.0 이전의 Lychee에서는 config/markdown.php에서 allow_unsafe_links가 활성화되어 있어, 앨범 편집 권한이 있는 인증된 사용자가 앨범 또는 사진 Markdown 설명에 javascript URI를 저장할 수 있습니다. app/Http/Resources/Models/Utils/PreformattedPhotoData.php 및 app/Http/Resources/Models/Utils/PreFormattedAlbumData.php는 해당 설명을 HTML로 변환하며, 갤러리 구성 요소인 PhotoDetails.vue, Overlay.vue, PhotoThumb.vue, AlbumHero.vue 및 AlbumCard.vue는 v-html을 사용하여 이 HTML을 렌더링합니다. 공개된 앨범에 대한 비인증 방문자를 포함한 방문자가 렌더링된 링크를 클릭하면 Lychee 오리진에서 공격자가 제어하는 JavaScript가 실행되어 세션 데이터가 노출되거나 피해자 컨텍스트 내에서 인증된 요청이 가능해질 수 있습니다. 이 갤러리 뷰 결함은 피드 렌더링을 다룬 CVE-2026-33738과 구별됩니다. 해당 문제는 버전 7.6.0에서 수정되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.