CVE-2026-61611 in Lychee
الملخص
بحسب VulDB • 15/10/2026
Lychee هو أداة مجانية ومفتوحة المصدر لإدارة الصور. قبل الإصدار 7.6.1، لا يحتوي نقطة النهاية POST /api/v2/Album::unlock على أي آلية لتقييد معدل الطلبات (throttle)، أو عداد للمحاولات، أو تأخير متزايد (backoff)، أو CAPTCHA، أو حظر مؤقت. تسمح الدالة UnlockAlbumRequest::authorize() لأي مُطلِق بإرسال محاولات، وتتحقق app/Actions/Album/Unlock.php من كل تخمين باستخدام Hash::check دون تقييد الفشل المتكرر. يمكن لمهاجم عن بُعد غير مصدّق (unauthenticated) يعرف معرّف الألبوم أو يستطيع الحصول عليه أن يؤتمتة عمليات التخمين لكلمة المرور ضد ألبوم محمي بكلمة مرور، وإذا تم استعادة كلمة المرور، فسيحصل على الوصول إلى مجموعة الصور الخاصة به. تمت معالجة هذه المشكلة في الإصدار 7.6.1.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.