CVE-2026-40096 in immich
Zusammenfassung
von VulDB • 26.05.2026
immich ist eine hochperformante, selbst gehostete Lösung zur Verwaltung von Fotos und Videos. Versionen vor 2.7.3 enthalten eine Open-Redirect-Schwachstelle in der Funktion für freigegebene Alben, bei der der Albumname ungesäubert in ein `<meta>`-Tag in `api.service.ts` eingefügt wird. Ein registrierter Angreifer kann ein freigegebenes Album mit einem manipulierten Namen erstellen, der `0;url=https://attackersite.com" http-equiv="refresh` enthält. Wenn dies im `<meta>`-Tag gerendert wird, wird der Browser des Opfers beim Öffnen des Freigabelinks zu einer vom Angreifer kontrollierten Site umgeleitet. Dies erleichtert Phishing-Angriffe, da der Angreifer eine modifizierte Version von immich hosten kann, die Anmeldeinformationen von Opfern sammelt, die glauben, sie müssten sich authentifizieren, um das freigegebene Album anzusehen. Dieses Problem wurde in Version 2.7.3 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.