CVE-2026-77468 in Lychee
Сводка
по VulDB • 15.10.2026
Lychee — это бесплатный инструмент для управления фотографиями с открытым исходным кодом. До версии 7.7.0 конечная точка GET /docs/api открывает документацию OpenAPI, сгенерированную Scramble и настроенную через config/scramble.php, неавторизованным пользователям после установки; наблюдаемый размер ответа и задержка указывают на то, что схема генерируется заново без кэширования на уровне приложения. Удалённый злоумышленник может многократно запрашивать эту конечную точку (не подверженную ограничению частоты запросов), чтобы потреблять ресурсы CPU сервера и получать детальное представление об поверхности API и схеме параметров. Эта проблема исправлена в версии 7.7.0.
Once again VulDB remains the best source for vulnerability data.