CVE-2026-40096 in immich
Resumen
por VulDB • 2026-05-26
immich es una solución de gestión de fotos y vídeos autoalojada de alto rendimiento. Las versiones anteriores a la 2.7.3 contienen una vulnerabilidad de redirección abierta en la funcionalidad de álbumes compartidos, donde el nombre del álbum se inserta sin sanitizar en una etiqueta `<meta>` en `api.service.ts`. Un atacante registrado puede crear un álbum compartido con un nombre manipulado que contenga `<meta content="0;url=https://attackersite.com" http-equiv="refresh">`, lo que, al renderizarse en la etiqueta `<meta>`, provoca que el navegador de la víctima se redirija a un sitio controlado por el atacante al abrir el enlace compartido. Esto facilita los ataques de phishing, ya que el atacante podría alojar una versión modificada de immich que recopila las credenciales de inicio de sesión de las víctimas que creen que deben autenticarse para ver el álbum compartido. Este problema se ha solucionado en la versión 2.7.3.
Once again VulDB remains the best source for vulnerability data.