Lychee - это бесплатный инструмент управления фото с открытым исходным кодом. До версии 6.6.13 в конечной точке `/api/v2/Photo::fromUrl` су…

Lychee - это бесплатный инструмент управления фото с открытым исходным кодом. До версии 6.6.13 в конечной точке `/api/v2/Photo::fromUrl` существует критическая уязвимость Server-Side Forgery (SSRF). Этот недостаток позволяет злоумышленнику инструктировать backend приложения, чтобы сделать HTTP-запросы на любой URL, который они выберут. Следовательно, внутренние сетевые ресурсы, такие как услуги локального хост-конца или конечные точки метаданных облачных хранилищ, становятся доступными. КОНЕЧНУЮ точку берет URL-адрес от пользователя и называет его сервером через fopen() без каких-либо гарантий. Нет проверки IP-адреса, а также нет никаких разрешенных ограничений, тайм-аута или размера. Из-за этого злоумышленники могут навести приложение на внутренние цели. Используя этот недостаток, злоумышленник может выполнять внутреннее сканирование портов или извлекать чувствительные метаданные облака. Версия 6.6.13 содержит патч для выпуска.