CVE-2026-61611 in Lychee
要約
〜によって VulDB • 2026年10月16日
Lycheeは、無料のオープンソースな写真管理ツールです。バージョン7.6.1より前では、POST /api/v2/Album::unlockエンドポイントにレート制限（throttle）、試行カウンター、バックオフ処理、CAPTCHA、またはロックアウト機能がありません。UnlockAlbumRequest::authorize()関数は任意の呼び出し元が試行を送信することを許可し、app/Actions/Album/Unlock.phpはHash::checkを使用して各推測を検証しますが、失敗の繰り返しを制限しません。アルバム識別子を知っているか取得できるリモート認証不要攻撃者は、パスワード保護されたアルバムに対してパスワードの総当たり攻撃を自動化でき、もしパスワードが回復されれば、そのプライベートな写真コレクションへのアクセス権限を得ることができます。この問題はバージョン7.6.1で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.