CVE-2026-61611 Falta de limitación de intentos en el desbloqueo de contraseña de álbumes de Lychee permite ataques de…

Qué es CVE-2026-61611

En Lychee anterior a 7.6.1, POST /api/v2/Album::unlock no tiene limitación de intentos, contador, retroceso, CAPTCHA ni bloqueo, y UnlockAlbumRequest::authorize() permite a cualquier llamador enviar intentos. Un atacante remoto no autenticado que conozca o pueda obtener el identificador de un álbum puede automatizar la adivinación de contraseñas y, si la recupera, acceder a su colección privada de fotos. Se corrige en la versión 7.6.1.

Productos y versiones afectadas

• LycheeOrg Lychee

  • < 7.6.1

Qué hacer

1. Verificá si usás Lychee y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 7.5 ALTA

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Alta

INTEGRIDAD (I)

Ninguna

DISPONIBILIDAD (A)

Ninguna

Abrir la calculadora completa →

Descripción original

Lychee is a free, open-source photo-management tool. Prior to 7.6.1, POST /api/v2/Album::unlock has no throttle, attempt counter, backoff, CAPTCHA, or lockout. UnlockAlbumRequest::authorize() permits any caller to submit attempts, and app/Actions/Album/Unlock.php verifies each guess with Hash::check without limiting repeated failures. A remote unauthenticated attacker who knows or can obtain an album identifier can automate password guesses against a password-protected album and, if the password is recovered, gain access to its private photo collection. This issue is fixed in version 7.6.1.

Referencias

• github.com/LycheeOrg/Lychee/security/advisories/GHSA-48vf-fwx6-2ph6X_REFSOURCE_CONFIRM
• github.com/LycheeOrg/Lychee/pull/4448X_REFSOURCE_MISC
• github.com/LycheeOrg/Lychee/commit/592291458a3373114a21412956fd23cfcda32abaX_REFSOURCE_MISC
• github.com/LycheeOrg/Lychee/releases/tag/v7.6.1X_REFSOURCE_MISC

Historial de la alerta

1. 15 OCT · 15:48VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.