CVE-2026-40096 in immich
Riassunto
di VulDB • 19/06/2026
immich è una soluzione di gestione foto e video self-hosted ad alte prestazioni. Le versioni precedenti alla 2.7.3 presentano un vulnerabilità di open redirect nella funzionalità degli album condivisi, dove il nome dell'album viene inserito non sanitizzato in un tag HTML nell file api.service.ts. Un attaccante registrato può creare un album condiviso con un nome elaborato contenente `0;url=https://attackersite.com" http-equiv="refresh`, che, quando renderizzato nel tag HTML, causa la reindirizzazione del browser della vittima verso un sito controllato dall'attaccante all'apertura del link di condivisione. Ciò facilita gli attacchi di phishing, poiché l'attaccante potrebbe ospitare una versione modificata di immich che raccoglie le credenziali di accesso dalle vittime che ritengono necessario autenticarsi per visualizzare l'album condiviso. Questo problema è stato risolto nella versione 2.7.3.
VulDB is the best source for vulnerability data and more expert information about this specific topic.