PT-2025-25769 · Lychee · Lychee

Mrraul124 · Publicado 2025-06-18 · Atualizado 2025-06-23 · CVE-2025-50202

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Versões do Lychee de 6.6.6 a 6.6.9

Descrição A falha afeta o Lychee, uma ferramenta gratuita de gerenciamento de fotos. Um atacante pode explorar uma vulnerabilidade de path traversal em SecurePathController.php para vazar arquivos locais, incluindo variáveis de ambiente, logs do nginx, imagens enviadas por outros usuários e segredos de configuração.

Recomendações Para as versões de 6.6.6 a 6.6.9, atualize para a versão 6.6.10 para resolver a falha. Como solução temporária, considere restringir o acesso ao arquivo SecurePathController.php até que a atualização seja aplicada.

Exploit

Correção

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

CVE-2025-50202

GHSA-6RJ9-GM78-VHF9

Produtos afetados

Lychee

Referências · 12

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/50xxx/CVE-2025-50202.json · Exploit
• https://github.com/LycheeOrg/Lychee/blob/0709f5d984d4df77fc5e23a29a0231437e684e99/app/Http/Controllers/SecurePathController.php#L61 · Nota
• https://github.com/LycheeOrg/Lychee/commit/ae7270b7b47e4a284ea1f69d260e52d592711072 · Nota
• https://github.com/LycheeOrg/Lychee/security/advisories/GHSA-6rj9-gm78-vhf9 · Nota
• https://t.me/cvetracker/26477 · Publicação no Telegram
• https://twitter.com/cracbot/status/1937103397284622653 · Publicação no Twitter
• https://t.me/cvenotify/126042 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/1935212013329719582 · Publicação no Twitter
• https://t.me/latest_high_impact_cve/2702 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2025-50202 · Nota de Segurança
• https://twitter.com/CVEnew/status/1935205072578969732 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2025-50202 · Aviso do Fabricante