CVE-2026-57569

Nome do Software Vulnerável e Versões Afetadas Lychee versões anteriores a 7.6.0

Description Um invasor autenticado que controla as respostas de DNS pode explorar uma incompatibilidade de tempo de verificação e tempo de uso (time-of-check to time-of-use) via DNS rebinding. A aplicação valida um nome de host e seus endereços resolvidos em app/Rules/PhotoUrlRule.php, mas posteriormente utiliza o nome de host original para uma conexão fopen separada através de app/Actions/Import/FromUrl.php e app/Image/Files/DownloadedFile.php. Isso permite que o invasor ignore as proteções contra server-side request forgery, fazendo com que a validação observe um endereço público enquanto a busca real resolve para um endereço privado ou proibido, podendo alcançar serviços internos disponíveis no servidor.

API Endpoints: 'POST /api/v2/Photo::fromUrl'

Recommendations Atualizar para a versão 7.6.0.