CVE-2026-39957
Açıklama
Lychee ücretsiz ve açık kaynaklı bir fotoğraf yönetim aracıdır. 7.5.4 sürümünden önce, SharingController::listAll() fonksiyonundaki bir SQL operatör önceliği hatası, orWhereNotNull('user_group_id') yan tümcesinin when() bloğu tarafından uygulanan sahiplik filtresini atlamasına neden olur. Yükleme iznine sahip olan ve en az bir albüme sahip herhangi bir kimliği doğrulanmış yönetici olmayan kullanıcı; diğer kullanıcılara ait özel albümler de dahil olmak üzere, tüm örnek genelindeki tüm kullanıcı grubu tabanlı paylaşım izinlerini elde edebilir. Bu güvenlik açığı 7.5.4 sürümünde giderilmiştir.
Nasıl düzeltilir
- lycheeorg lychee7.5.4 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| lycheeorg lychee | v < 7.5.4 | 7.5.4 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.