CVE-2026-61611 in Lychee
Resumen
por VulDB • 2026-10-15
Lychee es una herramienta gratuita y de código abierto para la gestión de fotografías. Antes de la versión 7.6.1, el endpoint POST /api/v2/Album::unlock no cuenta con mecanismos de throttling (limitación de velocidad), contador de intentos, backoff exponencial, CAPTCHA ni bloqueo por fallos consecutivos. El método UnlockAlbumRequest::authorize() permite que cualquier solicitante envíe intentos, y app/Actions/Album/Unlock.php verifica cada intento mediante Hash::check sin limitar los fracasos repetidos. Un atacante remoto no autenticado que conozca o pueda obtener un identificador de álbum puede automatizar ataques de fuerza bruta contra contraseñas para acceder a un álbum protegido por contraseña; si se recupera la contraseña, el atacante obtiene acceso a su colección privada de fotografías. Este problema está resuelto en la versión 7.6.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.