Lychee: Path Traversal in sicheren Bildlinks erlaubt authentifiziertes Lesen von Dateien
Zusammenfassung
Lychee, ein kostenloses Open-Source-Tool für die Fotoverwaltung, enthält eine Path-Traversal-Schwachstelle in SecurePathController, der Anfragen auf GET /image/{path} bedient. Die Präfixprüfung läuft, bevor Dot-Segmente kanonisiert werden, sodass kodierte Traversal-Segmente sie passieren können. Betroffen ist nur die nicht standardmässige Konfiguration mit aktivierten temporären Bildlinks und den in den Angaben genannten Einstellungen; der Angreifer benötigt ein gültiges Benutzerkonto. Ein erfolgreicher Angreifer kann Dateien lesen, die dem Webprozess zugänglich sind, einschliesslich der Anwendungskonfiguration und privater Bilder anderer Benutzer; offengelegte APP_KEY- oder Datenbank-Zugangsdaten könnten weitere Kompromittierungen ermöglichen.
Betroffen
- Lychee-Versionen vor 7.6.4
- Nur bei temporary_image_link_enabled aktiviert, temporary_image_link_when_logged_in deaktiviert und secure_image_link_enabled deaktiviert (nicht standardmässig)
- Früheste betroffene Version: Unbekannt.
Behoben in
- Auf Lychee 7.6.4 oder neuer aktualisieren (Fix-Commit f4553f6e0145ec4e02360c6121bd169e87b5d05f).
Umgehung
- Kein vom Hersteller dokumentierter Workaround.
- Das Deaktivieren temporärer Bildlinks dürfte die Exposition beseitigen, dies ist jedoch vom Hersteller nicht bestätigt.
Ausnutzung
- CISA SSVC: Exploitation none, Automatable no, Technical Impact partial.
- In den geprüften Quellen wurde keine bekannte Ausnutzung und kein öffentlicher Proof of Concept gefunden. Dies ist keine bestätigte Abwesenheit.
Unsere Empfehlung
- Alle Lychee-Instanzen und deren Versionen ermitteln.
- Mindestens auf 7.6.4 aktualisieren, idealerweise auf die neueste Version.
- Prüfen, ob temporäre Bildlinks aktiviert und benötigt sind; falls nicht benötigt, deaktivieren.
- Web-Server- und Anwendungslogs auf ungewöhnliche /image/-Anfragen prüfen.
- APP_KEY und Datenbank-Zugangsdaten rotieren, falls eine Exposition vermutet wird.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-j5ff-34x8-xxqg github.com
- Fix commit f4553f6e0145ec4e02360c6121bd169e87b5d05f github.com
- Pull request #4465 github.com
- Lychee release v7.6.4 github.com
- OSV CVE-2026-62679 osv.dev
- VulDB 420726 vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 08:31.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.