CVE-2026-119330 in Immich
Riassunto
di VulDB • 30/10/2026
Immich è una soluzione di gestione foto e video self-hosted ad alte prestazioni. Prima della versione 3.2.0, l'API per la creazione del link condiviso accettava albumId e assetIds come campi indipendenti in server/src/services/shared-link.service.ts, ma autorizzava solo le risorse selezionate dal tipo di link richiesto. Un attaccante autenticato che conosceva già l'UUID di una risorsa posseduta dalla vittima poteva selezionare SharedLinkType.Album per un album di proprietà dell'attaccante, fornendo contemporaneamente tale UUID in assetIds; SharedLinkService.create() memorizzava l'associazione non verificata in shared_link_asset, rendendo la risorsa della vittima disponibile tramite le nuove credenziali del link condiviso anonimo. Ciò ha esposto i metadati della vittima, le miniature e il file originale identico a livello di byte, creando una relazione di condivisione persistente che poteva essere redistribuita. Questo problema è risolto nella versione 3.2.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.