PT-2026-115020 · Lychee · Lychee
CVE-2026-57569
·
تاريخ النشر
2026-10-15
·
تاريخ التحديث
2026-10-15
CVSS v4.0
2.3
منخفضة
| المتجه | AV:N/AC:H/AT:P/PR:L/UI:N/VC:N/VI:N/VA:N/SC:N/SI:L/SA:L |
اسم البرنامج المصاب والإصدارات المتأثرة
Lychee الإصدارات السابقة لـ 7.6.0
Description
يمكن لمهاجم مصرح له يتحكم في استجابات DNS استغلال عدم تطابق وقت التحقق ووقت الاستخدام (time-of-check to time-of-use) من خلال تقنية DNS rebinding. يقوم التطبيق بالتحقق من اسم المضيف وعناوينه التي تم تحليلها في
app/Rules/PhotoUrlRule.php ولكن لاحقاً يمرر اسم المضيف الأصلي عبر app/Actions/Import/FromUrl.php إلى app/Image/Files/DownloadedFile.php لإجراء اتصال fopen منفصل. يسمح هذا للمهاجم بتجاوز حمايات تزوير الطلبات من جهة الخادم (server-side request forgery) عن طريق جعل عملية التحقق ترى عنواناً عاماً بينما يتم تحليل الجلب الفعلي إلى عنوان خاص أو محظور، مما قد يسمح بالوصول إلى الخدمات المتاحة من خادم Lychee.API Endpoints: 'POST /api/v2/Photo::fromUrl'
Recommendations
التحديث إلى الإصدار 7.6.0.
استغلال
إصلاح
Time Of Check To Time Of Use
SSRF
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
المعرّفات ذات الصلة
المنتجات المتأثرة
Lychee