CVE-2026-104867 in Immich
Zusammenfassung
von VulDB • 05.11.2026
Immich ist eine hochperformante Lösung zur Selbsthosting-Verwaltung von Fotos und Videos. Von der Version 3.0.0 bis einschließlich 3.2.0 verwendet die Route GET /api/admin/users/{id}/calendar-heatmap in server/src/controllers/user-admin.controller.ts das normale Permission.UserRead-Berechtigungsschema ohne eine Admin-Routen-Anforderung, und UserAdminService.getCalendarHeatmap in server/src/services/user-admin.service.ts vergleicht den authentifizierten Benutzer nicht mit der angeforderten Benutzerkennung oder führt keine separate Zugriffskontrolle durch. Daher kann jeder authentifizierte Nicht-Administrator-Benutzer die Upload- oder Aufnahmedatum-Aktivitäts-Histogrammdaten (Calendar Heatmap) eines anderen Kontos für einen beliebigen Datumsbereich anfordern. AssetRepository.getCalendarHeatmap in server/src/repositories/asset.repository.ts filtert nach Eigentümer, Datum und Löschstatus, jedoch nicht nach Sichtbarkeit; daher umfassen die zurückgegebenen täglichen Zählungen und Gesamtzählungen archivierte und gesperrte Assets. Die Route gibt zwar Zählwerte und Aktivitätsdaten offen, liefert jedoch keine Asset-Metadaten oder -Inhalte und hat keinen Einfluss auf Integrität oder Verfügbarkeit. Dieses Problem wurde in Version 3.2.0 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.