CVE-2026-77468 in Lychee
요약
\~에 의해 VulDB • 2026. 10. 15.
Lychee는 무료 오픈소스 사진 관리 도구입니다. 버전 7.7.0 이전에서는 설치 후 GET /docs/api 엔드포인트가 config/scramble.php에 구성된 Scramble 기반 OpenAPI 문서를 인증되지 않은 호출자에게 노출합니다. 관찰된 응답 크기와 지연 시간은 스키마가 애플리케이션 수준 캐시 없이 재생성됨을 시사합니다. 원격 공격자는 제한이 없는 이 라우트를 반복적으로 요청하여 서버 CPU 리소스를 고갈시키고 API 표면 및 파라미터 스키마에 대한 상세한 매핑 정보를 획득할 수 있습니다. 이 문제는 버전 7.7.0에서 해결되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.