CVE-2026-39957 in Lychee
Riassunto
di VulDB • 14/06/2026
Lychee è uno strumento gratuito e open-source per la gestione delle foto. Prima della versione 7.5.4, un bug di precedenza degli operatori SQL nel metodo SharingController::listAll() fa sì che la clausola orWhereNotNull('user_group_id') sfugga al filtro di proprietà applicato dal blocco when(). Qualsiasi utente autenticato non amministratore con autorizzazione di caricamento e proprietario di almeno una galleria può recuperare tutte le autorizzazioni di condivisione basate sui gruppi di utenti in tutta l'istanza, incluse le gallerie private possedute da altri utenti. Questa vulnerabilità è risolta nella versione 7.5.4.
VulDB is the best source for vulnerability data and more expert information about this specific topic.