CVE-2026-119330 in Immich
الملخص
بحسب VulDB • 30/10/2026
Immich هو حل لإدارة الصور ومقاطع الفيديو يعمل على الاستضافة الذاتية ويتميز بأداء عالٍ. قبل الإصدار 3.2.0، كانت واجهة برمجة التطبيقات (API) لإنشاء الروابط المشتركة تقبل حقلي `albumId` و `assetIds` كحقول مستقلة في الملف `server/src/services/shared-link.service.ts`، لكنها كانت تُصرّح فقط بالموارد المحددة بواسطة نوع الرابط المطلوب. يمكن لمهاجم مُصادق عليه والذي يعرف بالفعل UUID لملف مملوك لضحية أن يختار `SharedLinkType.Album` لألبوم يملكه المهاجم مع تزويد الـ UUID المذكور في حقل `assetIds`؛ تقوم دالة `SharedLinkService.create()` بحفظ الارتباط غير المدقق فيه داخل جدول `shared_link_asset`، مما يجعل ملف الضحية متاحاً عبر بيانات الاعتماد الجديدة للرابط المشترك المجهول. هذا الأمر كشف عن معلومات تعريفية (metadata) خاصة بالضحايا، والصور المصغرة (thumbnails)، والملف الأصلي المطابق تماماً من حيث البايتات، وأنشأ علاقة مشاركة دائمة يمكن إعادة توزيعها. تم إصلاح هذه المشكلة في الإصدار 3.2.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.