🇰🇷 한글 설명
Lychee 6.6.6부터 6.6.9 버전의 SecurePathController.php에서 경로 순회 취약점으로 인해 공격자가 환경변수, nginx 로그, 다른 사용자 이미지, 설정 정보 등 민감한 로컬 파일에 접근할 수 있습니다. 버전 6.6.10에서 수정되었습니다.
💡 쉬운 설명
Lychee 사진 관리 도구의 보안 결함으로 공격자가 시스템의 숨겨진 정보 파일들을 볼 수 있습니다. 6.6.10 이상으로 업그레이드하면 안전해집니다.
🇺🇸 원문 (English)
Lychee is a free photo-management tool. In versions starting from 6.6.6 to before 6.6.10, an attacker can leak local files including environment variables, nginx logs, other user's uploaded images, and configuration secrets due to a path traversal exploit in SecurePathController.php. This issue has been patched in version 6.6.10.
📍 영향받는 시스템
Lychee 6.6.6 ~ 6.6.9
⚔️ 공격 벡터
SecurePathController.php의 경로 순회 취약점을 이용한 비인가 로컬 파일 접근
🛡️ 대응 방법
Lychee를 6.6.10 이상으로 즉시 업그레이드
🔧 검증 코드
명령어 결과가 6.6.10 미만이면 취약점 보유 상태이므로 업그레이드 필요합니다.
grep -o '6\.[0-9]\.[0-9]' /path/to/lychee/composer.lock 2>/dev/null | head -1 || echo 'Check Lychee installation path'