PT-2026-115023 · Lycheeorg+1 · Lychee
CVE-2026-61838
·
تاريخ النشر
2026-10-15
·
تاريخ التحديث
2026-10-15
CVSS v4.0
8.2
عالية
| المتجه | AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X |
اسم البرنامج المصاب والإصدارات المتأثرة
Lychee الإصدارات السابقة لـ 7.6.3
Description
يوجد خلل في تفويض الصلاحيات في أداة إدارة الصور حيث يقوم نقطة النهاية "/api/v2/Zip" بالتحقق من طلبات الأرشيف باستخدام
AlbumPolicy::canDownload() و PhotoPolicy::canDownload() دون فرض AlbumPolicy::canAccess(). يسمح هذا لمهاجم غير مصرح له، يمتلك معرف ألبوم مشترك، بتنزيل أرشيف ZIP لألبوم عام محمي بكلمة مرور دون تقديم كلمة المرور، بشرط تفعيل grants download. يحتوي الأرشيف الناتج على صور الألبوم وقد يتضمن النسخ الأصلية بدقتها الكاملة والبيانات الوصفية إذا تم تفعيل grants full photo access.Recommendations
التحديث إلى الإصدار 7.6.3.
استغلال
إصلاح
Improper Authorization
IDOR
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
المعرّفات ذات الصلة
المنتجات المتأثرة
Lychee