VULNERABILIDAD
CVE-2026-62679 Recorrido de directorios en SecurePathController de Lychee permite lectura arbitraria de archivos autenticada
En Lychee anterior a 7.6.4, SecurePathController, que sirve GET /image/{path}, concatena la ruta controlada por el atacante con la raíz de almacenamiento local y hace una comprobación de prefijo antes de canonicalizar los segmentos de punto. Bajo la configuración no predeterminada con temporary_image_link_enabled habilitado, temporary_image_link_when_logged_in deshabilitado y secure_image_link_enabled deshabilitado, cualquier usuario autenticado puede enviar segmentos de recorrido codificados que pasan la…
Alerta de Nureq Monitor
Detectada 15 OCT · 15:48
CVSS 4.0
8.9ALTAPROBABILIDAD DE EXPLOTACIÓN (EPSS)
0,4 % PERCENTIL 28
EXPLOTACIÓN ACTIVA
No confirmada
EXPLOIT PÚBLICO
No conocido
Qué es CVE-2026-62679
En Lychee anterior a 7.6.4, SecurePathController, que sirve GET /image/{path}, concatena la ruta controlada por el atacante con la raíz de almacenamiento local y hace una comprobación de prefijo antes de canonicalizar los segmentos de punto. Bajo la configuración no predeterminada con temporary_image_link_enabled habilitado, temporary_image_link_when_logged_in deshabilitado y secure_image_link_enabled deshabilitado, cualquier usuario autenticado puede enviar segmentos de recorrido codificados que pasan la…
Productos y versiones afectadas
LycheeOrg Lychee
Qué hacer
- Verificá si usás Lychee y en qué versión: el rango afectado figura arriba.
- Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
- Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.
Calculadora CVSS
CVSS 4.0 · 8.9 ALTA
CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:N/VC:H/VI:H/VA:N/SC:H/SI:H/SA:H
- VECTOR DE ATAQUE (AV)
- Red
- COMPLEJIDAD DEL ATAQUE (AC)
- Baja
- REQUISITOS DEL ATAQUE (AT)
- Presentes
- PRIVILEGIOS REQUERIDOS (PR)
- Bajos
- INTERACCIÓN DEL USUARIO (UI)
- Ninguna
- CONFIDENCIALIDAD (SISTEMA VULNERABLE) (VC)
- Alta
- INTEGRIDAD (SISTEMA VULNERABLE) (VI)
- Alta
- DISPONIBILIDAD (SISTEMA VULNERABLE) (VA)
- Ninguna
- CONFIDENCIALIDAD (SISTEMAS POSTERIORES) (SC)
- Alta
- INTEGRIDAD (SISTEMAS POSTERIORES) (SI)
- Alta
- DISPONIBILIDAD (SISTEMAS POSTERIORES) (SA)
- Alta
Abrir la calculadora completa →
Descripción original
Lychee is a free, open-source photo-management tool. Prior to 7.6.4, SecurePathController, which serves GET /image/{path}, concatenates the attacker-controlled path with the local storage root and performs a string-prefix check before canonicalizing dot segments. Under the supported non-default configuration with temporary_image_link_enabled enabled, temporary_image_link_when_logged_in disabled, and secure_image_link_enabled disabled, any authenticated user can submit encoded traversal segments that pass the prefix check and are later resolved by filesystem operations. This permits reading files available to the web process, including application configuration and other users' private images, and disclosed APP_KEY or database credentials can enable further compromise. This issue is fixed in version 7.6.4.
Referencias
- github.com/LycheeOrg/Lychee/security/advisories/GHSA-j5ff-34x8-xxqgX_REFSOURCE_CONFIRM
- github.com/LycheeOrg/Lychee/pull/4465X_REFSOURCE_MISC
- github.com/LycheeOrg/Lychee/commit/f4553f6e0145ec4e02360c6121bd169e87b5d05fX_REFSOURCE_MISC
- github.com/LycheeOrg/Lychee/releases/tag/v7.6.4X_REFSOURCE_MISC
Historial de la alerta
- VULNERABILIDAD Nueva vulnerabilidad detectada.
CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.