CVE-2026-61610

اسم البرنامج المصاب والإصدارات المتأثرة Lychee الإصدارات السابقة لـ 7.6.1

الوصف توجد مشكلة عندما يتم ضبط إعداد photos star visibility على الوضع المجهول. يمكن للمهاجم غير المصرح له، الذي يستطيع تخمين معرفات الصور، استخدام نقطة النهاية 'POST /api/v2/Photo::highlight' للتمييز بين الصور الخاصة الموجودة من خلال تحليل الفرق بين استجابات النجاح واستجابات عدم العثور على الملف. بالإضافة إلى ذلك، يمكن للمهاجم تغيير حالة is highlighted للصور، بما في ذلك الصور الموجودة في ألبومات خاصة أو محمية بكلمة مرور. يحدث هذا لأن BaseApiRequest::validateResolved() تستدعي SetPhotosHighlightedRequest::processValidatedValues() قبل عملية التفويض، وتقوم الدالة PhotoPolicy::canHighlight() بإرجاع قيمة true للمتصلين المجهولين دون إجراء فحص للرؤية.

التوصيات التحديث إلى الإصدار 7.6.1. كإجراء تخفيف مؤقت، قم بتغيير إعداد photos star visibility من المجهول إلى قيمة أكثر تقييدًا.