目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

目标: 1000 元 · 已筹: 1359 元

100%
请我们喝杯咖啡

CVE-2026-61611— Lychee相册密码解锁接口缺速率限制致暴力破解漏洞

一分钟漏洞结论

影响对象
LycheeOrg Lychee
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。

Lychee 是一款免费、开源的照片管理工具。在 7.6.1 版本之前，POST /api/v2/Album::unlock 接口未实施速率限制（throttle）、尝试计数（attempt counter）、退避策略（backoff）、验证码（CAPTCHA）或账户锁定（lockout）等安全措施。UnlockAlbumRequest::authorize() 方法允许任意调用者提交猜测请求，而 app/Actions/Album/Unlock.php 中使用 Hash::check 对每次猜测进行验证，且未对连

CVSS 7.5 · High

可能的 ATT&CK 技术 1 AI

T1110 · Brute Force

影响版本矩阵 1

厂商产品 版本范围状态
LycheeOrg Lychee < 7.6.1 affected
获取后续新漏洞提醒 登录后订阅

一、 漏洞 CVE-2026-61611 基础信息

漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗

尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。

Vulnerability Title
Lychee: Missing rate limiting on album password unlock endpoint allows brute-force attacks
来源: CVE Program / CVE List V5
Vulnerability Description
Lychee is a free, open-source photo-management tool. Prior to 7.6.1, POST /api/v2/Album::unlock has no throttle, attempt counter, backoff, CAPTCHA, or lockout. UnlockAlbumRequest::authorize() permits any caller to submit attempts, and app/Actions/Album/Unlock.php verifies each guess with Hash::check without limiting repeated failures. A remote unauthenticated attacker who knows or can obtain an album identifier can automate password guesses against a password-protected album and, if the password is recovered, gain access to its private photo collection. This issue is fixed in version 7.6.1.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
来源: CVE Program / CVE List V5
Vulnerability Type
过多认证尝试的限制不恰当
来源: CVE Program / CVE List V5

受影响产品

厂商 产品 影响版本 CPE 订阅
LycheeOrg Lychee < 7.6.1 -

二、漏洞 CVE-2026-61611 的公开POC

# POC 描述 源链接 神龙链接
AI 生成 POC 高级

未找到公开 POC。

登录以生成 AI POC

三、漏洞 CVE-2026-61611 的情报信息

请登录查看更多情报信息。

CVE-2026-61611 补丁与修复 (2)

CVE-2026-61611 厂商安全公告 (1)

CVE-2026-61611 厂商页面 (1)

同批安全公告 · LycheeOrg · 2026-10-15 · 共 10 条

CVE-2026-62679 8.9 HIGH Lychee SecurePathController 任意文件读取漏洞
CVE-2026-77470 8.3 HIGH Lychee 商店结账允许通过恶意POST请求覆盖支付金额
CVE-2026-77466 8.3 HIGH Lychee 网店支付绕过漏洞
CVE-2026-61838 8.2 HIGH Lychee ZIP下载相册密码绕过漏洞
CVE-2026-77467 7.1 HIGH Lychee PDF处理耗时漏洞
CVE-2026-77468 6.9 MEDIUM Lychee /docs/api 接口缺少认证及资源限制漏洞
CVE-2026-57568 5.7 MEDIUM Lychee 相册描述存储型XSS漏洞
CVE-2026-57569 2.3 LOW Lychee 相册 SSRF漏洞：DNS验证后缺少IP绑定
CVE-2026-61610 2.3 LOW Lychee 匿名照片星标泄露私有照片

IV. Related Vulnerabilities

Same product: Lychee
Same vendor: LycheeOrg
Same weakness: CWE-307

V. Comments for CVE-2026-61611

暂无评论

发表评论