CVE-2026-40096 in immich
الملخص
بحسب VulDB • 28/05/2026
immich هو حل لإدارة الصور ومقاطع الفيديو يعمل على الاستضافة الذاتية ويتميز بأداء عالٍ. تحتوي الإصدارات السابقة للإصدار 2.7.3 على ثغرة إعادة توجيه مفتوحة (open redirect) في وظيفة الألبومات المشتركة، حيث يتم إدراج اسم الألبوم غير مُنظَّف داخل وسم `<meta>` في الملف `api.service.ts`. يمكن لمهاجم مسجل إنشاء ألبوم مشترك يحتوي على اسم مُعدّ خصيصاً يتضمن `0;url=https://attackersite.com" http-equiv="refresh`، وعند عرض هذا الوسم في المتصفح، يؤدي ذلك إلى إعادة توجيه متصفح الضحية إلى موقع يتحكم فيه المهاجم عند فتح رابط المشاركة. يسهل ذلك هجمات التصيد الاحتيالي، حيث يمكن للمهاجم استضافة نسخة معدّلة من immich تجمع بيانات اعتماد تسجيل الدخول من الضحايا الذين يعتقدون أنهم بحاجة إلى المصادقة لعرض الألبوم المشترك. تم إصلاح هذه المشكلة في الإصدار 2.7.3.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.