Lychee: Umgehung des Album-Passworts über ZIP-Download
Zusammenfassung
Lychee, eine selbst betriebene Anwendung zur Fotoverwaltung, prüft auf dem ZIP-Download-Endpunkt /api/v2/Zip die Album-Zugriffsberechtigung nicht. Bei einem öffentlichen, passwortgeschützten Album mit aktiviertem Download kann ein nicht angemeldeter Angreifer, der die Album-ID kennt, ein ZIP-Archiv ohne Passwort herunterladen. Ist zusätzlich der Vollzugriff auf Fotos aktiviert, enthält das Archiv Originale in voller Auflösung und Metadaten.
Betroffen
- Lychee-Versionen vor 7.6.3 (OSV nennt explizit 7.5.4, 7.6.0, 7.6.1 und 7.6.2; ältere Versionen nicht verifiziert)
Behoben in
- Lychee 7.6.3 (Fix-Commit 4366dd0e721126dffe29659afec93aee9c1db711)
- Die am selben Tag veröffentlichten Sicherheitshinweise des Herstellers sind in 7.7.0 behoben; ein Update auf 7.7.0 oder neuer wird empfohlen
Umgehung
- Unbekannt. Keine vom Hersteller dokumentierte Workaround-Massnahme. Vorsorglich Download und Vollzugriff auf Fotos bei passwortgeschützten Alben deaktivieren, wo sie nicht benötigt werden.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn; CISA SSVC stuft die Ausnutzung als PoC ein.
- CISA SSVC: Automatisierbar ja, technische Auswirkung teilweise.
- KEV-Eintrag: gemäss verfügbaren Quellen nicht gelistet.
Unsere Empfehlung
- Alle Lychee-Instanzen und deren Versionen erfassen und prüfen, ob sie aus dem Internet erreichbar sind.
- Auf Lychee 7.7.0 oder neuer aktualisieren und die Versionshinweise vor dem Rollout prüfen.
- Passwortgeschützte Alben mit aktiviertem Download oder Vollzugriff prüfen und diese Optionen deaktivieren, wo sie nicht benötigt werden.
- Davon ausgehen, dass Links zu solchen Alben missbraucht worden sein könnten, und betroffene Kunden informieren, falls Daten offengelegt wurden.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Fix commit 4366dd0 (LycheeOrg/Lychee) github.com
- Pull Request #4459 (LycheeOrg/Lychee) github.com
- Lychee release v7.6.3 github.com
- GHSA-735c-2wqc-x29r (GitHub Security Advisory) github.com
- OSV: CVE-2026-61838 osv.dev
- NVD/CNA mirror: CVE-2026-61838 (Vulners) vulners.com
- VulDB entry 420729 vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 15:57.
Referenzen der NVD (5)
- https://github.com/LycheeOrg/Lychee/commit/4366dd0e721126dffe29659afec93aee9c1db711
- https://github.com/LycheeOrg/Lychee/pull/4459
- https://github.com/LycheeOrg/Lychee/releases/tag/v7.6.3
- https://github.com/LycheeOrg/Lychee/security/advisories/GHSA-735c-2wqc-x29r
- https://github.com/LycheeOrg/Lychee/security/advisories/GHSA-735c-2wqc-x29r
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.