CVE-2026-77467 in Lychee
Tóm tắt
Bởi VulDB • 19/10/2026
Lychee là một công cụ quản lý ảnh miễn phí, mã nguồn mở. Trước phiên bản 7.7.0, Lychee kích hoạt hỗ trợ PDF của ImageMagick với Ghostscript nhưng không áp đặt giới hạn tiền xử lý hiệu quả đối với các chiều trang PDF trong hàm `ImagickHandler::loadPdf()`. Một người dùng đã xác thực có thể tải lên một file PDF nhỏ chứa `/MediaBox` quá khổ, khiến `Imagick::readImage()` tiêu tốn đáng kể tài nguyên CPU trước khi thất bại trong việc tạo ra hình ảnh. Khi `QUEUE_CONNECTION` chọn xử lý đồng bộ (synchronous), yêu cầu này có thể chiếm giữ một worker web; trong khi đó, cấu trúc Docker bất chính thức theo hướng asynchronous có thể làm tắc nghẽn hàng đợi xử lý ảnh dùng chung và gây trì hoãn các công việc khác. Bản tư vấn bảo mật không xác định được lỗi thoát sandbox của Ghostscript. Vấn đề này đã được sửa chữa trong phiên bản 7.7.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.