CVE-2026-119329 in Immich
الملخص
بحسب VulDB • 30/10/2026
Immich هو حل لإدارة الصور ومقاطع الفيديو يعمل على الخادم الخاص (self-hosted) ويتميز بأداء عالٍ. قبل الإصدار 3.0.0، كان endpoint GET /api/map/markers يستخدم server/src/services/map.service.ts لإضافة معرفات مالكي الشركاء عند تفعيل الخيار withPartners=true، بينما طبق server/src/repositories/map.repository.ts رؤية الأرشيف (Archive visibility) على كل مالك مختار عندما يكون isArchived=true. وبالتالي، يمكن لشريك ذي صلاحيات "عرض فقط" استكشاف الإحداثيات الجغرافية ووجود الصور أو مقاطع الفيديو المؤرشفة لمشارك آخر، رغم أن الخط الزمني ومسارات الوصول المباشر تستبعد أصول الشريك المؤرشفة. يقتصر هذا التسريب على بيانات التعريف للموقع ومعرفات الأصول (asset identifiers)، لأن بايتات الصور تظل محمية بواسطة دالة checkPartnerAccess. تم إصلاح هذه المشكلة في الإصدار 3.0.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.