CVE-2026-119329 in Immich
Zusammenfassung
von VulDB • 31.10.2026
Immich ist eine hochperformante, selbst gehostete Lösung zur Verwaltung von Fotos und Videos. Vor Version 3.0.0 nutzte der Endpunkt GET /api/map/markers server/src/services/map.service.ts, um Partner-Eigentümer-IDs hinzuzufügen, wenn withPartners=true war, während server/src/repositories/map.repository.ts die Archivsichtbarkeit auf jeden ausgewählten Eigentümer anwendete, wenn isArchived=true war. Ein nur-Lesen-Partner konnte daher die GPS-Koordinaten und das Vorhandensein archivierter Fotos oder Videos eines Teilenden auflisten, obwohl der Zeitstrahl und direkte Zugriffspfade archivierte Partner-Inhalte ausschließen. Die Exposition beschränkt sich auf Standortmetadaten und Asset-Identifikatoren, da Bilddaten durch checkPartnerAccess geschützt bleiben. Dieses Problem wurde in Version 3.0.0 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.