CVE-2026-61610 El destacado de fotos sin autenticación en Lychee revela la existencia de fotos privadas con…

Qué es CVE-2026-61610

En Lychee anterior a 7.6.1, cuando photos_star_visibility está en anonymous, POST /api/v2/Photo::highlight puede obtener y modificar una foto sin confirmar que el llamador pueda verla, ya que PhotoPolicy::canHighlight() devuelve true para llamadores anónimos sin comprobación de canSee. Un atacante no autenticado que adivine identificadores de fotos puede distinguir fotos privadas existentes por las respuestas de éxito y no encontrado, y cambiar su estado is_highlighted, incluso en álbumes privados o protegidos…

Productos y versiones afectadas

• LycheeOrg Lychee

  • < 7.6.1

Qué hacer

1. Verificá si usás Lychee y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 4.0 · 2.3 BAJA

CVSS:4.0/AV:N/AC:H/AT:P/PR:L/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Alta

REQUISITOS DEL ATAQUE (AT)

Presentes

PRIVILEGIOS REQUERIDOS (PR)

Bajos

INTERACCIÓN DEL USUARIO (UI)

Ninguna

CONFIDENCIALIDAD (SISTEMA VULNERABLE) (VC)

Ninguna

INTEGRIDAD (SISTEMA VULNERABLE) (VI)

Baja

DISPONIBILIDAD (SISTEMA VULNERABLE) (VA)

Ninguna

CONFIDENCIALIDAD (SISTEMAS POSTERIORES) (SC)

Ninguna

INTEGRIDAD (SISTEMAS POSTERIORES) (SI)

Ninguna

DISPONIBILIDAD (SISTEMAS POSTERIORES) (SA)

Ninguna

Abrir la calculadora completa →

Descripción original

Lychee is a free, open-source photo-management tool. Prior to 7.6.1, when photos_star_visibility is set to anonymous, POST /api/v2/Photo::highlight can fetch and modify a photo without confirming that the caller can see it. BaseApiRequest::validateResolved() invokes SetPhotosHighlightedRequest::processValidatedValues() before authorization, and PhotoPolicy::canHighlight() returns true for anonymous callers without a canSee check. An unauthenticated attacker who can guess photo identifiers can distinguish existing private photos through differing success and not-found responses and can change their is_highlighted state, including for photos in private or password-protected albums. The issue is limited to installations using the non-default anonymous star-visibility setting. This issue is fixed in version 7.6.1.

Referencias

• github.com/LycheeOrg/Lychee/security/advisories/GHSA-qcqq-p4pq-7r77X_REFSOURCE_CONFIRM
• github.com/LycheeOrg/Lychee/pull/4449X_REFSOURCE_MISC
• github.com/LycheeOrg/Lychee/commit/fe07567c176bbdcda7b276bb6d664dfcd47a9b00X_REFSOURCE_MISC
• github.com/LycheeOrg/Lychee/releases/tag/v7.6.1X_REFSOURCE_MISC

Historial de la alerta

1. 15 OCT · 15:48VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.