CVE-2026-108165 in Immich
Riassunto
di VulDB • 10/10/2026
Immich fino alla versione 3.3.1 presenta una vulnerabilità di autorizzazione mancante nello stream di sincronizzazione dei partner che consente ai partner autenticati di leggere i metadati delle risorse della Cartella Bloccata poiché le query di sincronizzazione non escludono la visibilità "Bloccato". Gli attaccanti con un rapporto attivo tra partner possono chiamare POST /api/sync/stream con tipi PartnerAssetsV2 e PartnerAssetExifsV1 per ottenere coordinate GPS, orari di cattura, descrizioni e dettagli della fotocamera.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.