Lychee исправляет SSRF-уязвимость в Photo::fromUrl (CVE-2026-57569)
В Lychee, популярном open-source инструменте для управления фотографиями, устранена уязвимость класса SSRF, связанная с отсутствием привязки IP-адреса после DNS-проверки. Проблема затрагивает версии до 7.6.0 и позволяет аутентифицированному атакующему обходить защиту от серверных запросов. Критичность оценивается как низкая (CVSS 2.3).
Подробности
Проблема затрагивает LycheeOrg Lychee в версиях до 7.6.0. Уязвимость присутствует в потоке обработки запроса POST /api/v2/Photo::fromUrl. При получении URL для импорта изображения приложение проверяет имя хоста и связанные с ним IP-адреса в модуле app/Rules/PhotoUrlRule.php. Однако после успешной валидации исходное имя хоста передаётся дальше — через app/Actions/Import/FromUrl.php в app/Image/Files/DownloadedFile.php, где открывается отдельное соединение через fopen. Ключевая проблема заключается в том, что между проверкой и фактической загрузкой не выполняется привязка (pinning) проверенного IP-адреса. Аутентифицированный злоумышленник, контролирующий DNS-ответы, может организовать атаку типа DNS rebinding: при первой проверке хост резолвится в публичный адрес, проходя валидацию, а при последующем соединении тот же хостname разрешается уже в приватный или иной запрещённый адрес. Такой разрыв между моментом проверки и моментом использования (TOCTOU) позволяет обойти заявленные механизмы защиты от SSRF. Успешная эксплуатация может дать доступ к сервисам, доступным с сервера Lychee, — например, к внутренним ресурсам инфраструктуры. Масштаб последствий зависит от конфигурации развёртывания и поведения TLS. Уязвимости присвоен базовый балл CVSS 2.3, что соответствует низкому уровню критичности, однако в определённых сценариях она способна стать частью цепочки атак на внутреннюю сеть.Что делать
Основная рекомендация — обновить Lychee до версии 7.6.0 или выше, в которой уязвимость устранена. Проверьте текущую версию вашей установки и запланируйте апдейт в ближайшее время. Если немедленное обновление невозможно, рассмотрите временные меры: ограничьте сетевой доступ сервера Lychee к внутренним адресам с помощью правил файрвола или сегментации сети, а также ограничьте круг пользователей, имеющих право импортировать изображения по внешним ссылкам. Дополнительно можно использовать DNS-резолверы с защитой от rebinding, хотя это не заменяет полноценного патча. Итог: CVE-2026-57569 — показательный пример уязвимости, возникающей из-за несоответствия между этапом проверки и этапом использования ресурса. Несмотря на низкий балл CVSS, игнорировать её не стоит: обновление до 7.6.0 закрывает проблему полностью.Источник: CVE Project (cvelistV5)