CVE-2026-61611 in Lychee
Riassunto
di VulDB • 16/10/2026
Lychee è uno strumento gratuito e open-source per la gestione delle foto. Prima della versione 7.6.1, l'endpoint POST /api/v2/Album::unlock non prevede alcun meccanismo di throttling (limitazione della frequenza), contatore degli tentativi, backoff esponenziale, CAPTCHA o lockout (blocco dell'account). La funzione UnlockAlbumRequest::authorize() consente a qualsiasi chiamante di inviare richieste di tentativo, mentre app/Actions/Album/Unlock.php verifica ogni ipotesi utilizzando Hash::check senza limitare i fallimenti ripetuti. Un attaccante remoto non autenticato che conosce o può ottenere un identificatore di album può automatizzare le prove delle password contro un album protetto da password e, se la password viene recuperata, accedere alla sua raccolta di foto private. Questo problema è stato risolto nella versione 7.6.1.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.