Saltar al contenido
DUPIN
ALERTAS · EN VIVO
Contacto

VULNERABILIDADDetectada 15 OCT · 15:48

CVE-2026-61838 Omisión de contraseña de álbum en descargas ZIP de Lychee

En Lychee anterior a 7.6.3, GET /api/v2/Zip autoriza archivos de álbumes y fotos mediante AlbumPolicy::canDownload() y PhotoPolicy::canDownload() sin aplicar primero AlbumPolicy::canAccess(). Para un álbum público protegido por contraseña con grants_download habilitado, un atacante no autenticado que conozca el identificador del álbum puede descargar un ZIP sin proporcionar la contraseña ni desbloquear el álbum, exponiendo las fotos e incluso originales de resolución completa y metadatos asociados si…

8.2ALTA

CVSS 4.0

  • Probabilidad de explotación0,4 %
  • Explotada activamenteNo confirmada
  • Exploit públicoNo conocido

Afectados

  • LycheeOrg Lychee

    < 7.6.3

Qué hacer

  1. Verificá si usás Lychee y en qué versión.
  2. Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
  3. Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.

Calculadora CVSS

CVSS 4.0 · 8.2 ALTA

CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N

  • Vector de ataqueRed
  • Complejidad del ataqueBaja
  • Requisitos del ataquePresentes
  • Privilegios requeridosNinguno
  • Interacción del usuarioNinguna
  • Confidencialidad (sistema vulnerable)Alta
  • Integridad (sistema vulnerable)Ninguna
  • Disponibilidad (sistema vulnerable)Ninguna
  • Confidencialidad (sistemas posteriores)Ninguna
  • Integridad (sistemas posteriores)Ninguna
  • Disponibilidad (sistemas posteriores)Ninguna

Descripción original

Lychee is a free, open-source photo-management tool. Prior to 7.6.3, GET /api/v2/Zip authorizes album and photo archives through AlbumPolicy::canDownload() and PhotoPolicy::canDownload() without first enforcing AlbumPolicy::canAccess(). For a public, password-protected album with grants_download enabled, an unauthenticated attacker who knows the shared album identifier can download a ZIP archive without supplying the password or unlocking the album, even though browsing endpoints deny access. The archive exposes the album's photos and can include full-resolution originals and associated metadata when grants_full_photo_access is enabled. This issue is fixed in version 7.6.3.

Referencias (4)

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.