CVE-2026-61610

Nome do Software Vulnerável e Versões Afetadas Lychee versões anteriores a 7.6.1

Descrição Um problema ocorre quando a configuração photos star visibility está definida como anônima. Um invasor não autenticado que consiga adivinhar os identificadores das fotos pode usar o endpoint 'POST /api/v2/Photo::highlight' para distinguir fotos privadas existentes, analisando a diferença entre as respostas de sucesso e de não encontrado. Além disso, o invasor pode alterar o estado is highlighted de fotos, inclusive aquelas em álbuns privados ou protegidos por senha. Isso acontece porque BaseApiRequest::validateResolved() invoca SetPhotosHighlightedRequest::processValidatedValues() antes da autorização, e a função PhotoPolicy::canHighlight() retorna verdadeiro para chamadores anônimos sem realizar uma verificação de visibilidade.

Recomendações Atualize para a versão 7.6.1. Como medida de mitigação temporária, altere a configuração photos star visibility de anônima para um valor mais restritivo.