CVE-2026-61838 in Lychee
Résumé
par VulDB • 15/10/2026
Lychee est un outil de gestion de photos gratuit et open-source. Avant la version 7.6.3, l'endpoint GET /api/v2/Zip autorise les téléchargements d'archives d'albums et de photos via AlbumPolicy::canDownload() et PhotoPolicy::canDownload(), sans vérifier au préalable AlbumPolicy::canAccess(). Pour un album public protégé par mot de passe avec grants_download activé, un attaquant non authentifié qui connaît l'identifiant partagé de l'album peut télécharger une archive ZIP sans fournir le mot de passe ni déverrouiller l'album, bien que les endpoints de navigation refusent l'accès. L'exposition des photos de l'archive peut inclure les originaux en haute résolution et les métadonnées associées lorsque grants_full_photo_access est activé. Ce problème est corrigé dans la version 7.6.3.
If you want to get best quality of vulnerability data, you may have to visit VulDB.