Description
Lychee 是一款免费的照片管理工具。在版本 6.6.6 至 6.6.10 之前的版本中，SecurePathController.php 存在路径遍历漏洞，攻击者可以通过该漏洞泄露本地文件，包括环境变量、nginx 日志、其他用户上传的图像以及配置机密。此问题已在版本 6.6.10 中修复。
LycheeOrg-Lychee /image 目录遍历漏洞（CVE-2025-50202）
PoC
None yet. Search at https://trap.biu.life/?ref=rssReferences
https://nvd.nist.gov/vuln/detail/CVE-2025-50202
https://github.com/LycheeOrg/Lychee/security/advisories/GHSA-6rj9-gm78-vhf9
https://access.redhat.com/security/cve/cve-2025-50202
https://www.sentinelone.com/vulnerability-database/cve-2025-50202/
https://app.opencve.io/cve/CVE-2025-50202
https://avd.aquasec.com/nvd/2025/cve-2025-50202/
https://www.ameeba.com/blog/cve-2025-50202-path-traversal-vulnerability-in-lychee-photo-management-tool/