CVE-2026-119330 in Immich
要約
〜によって VulDB • 2026年10月30日
Immichは、高性能なセルフホスト型写真および動画管理ソリューションです。バージョン3.2.0より前では、共有リンク作成APIが `server/src/services/shared-link.service.ts` で albumId と assetIds を独立したフィールドとして受け入れていましたが、要求されたリンクタイプによって選択されたリソースのみを認可していました。攻撃者が被害者の所有するアセットのUUIDを既に把握している場合、攻撃者所有のアラバムに対して SharedLinkType.Album を選択し、assetIds にそのUUIDを提供することで、SharedLinkService.create() はチェックされていない関連付けを shared_link_asset に永続化させ、新しい匿名共有リンク認証情報を通じて被害者のアセットを利用可能にしました。これにより、被害者のメタデータ、サムネイル、およびバイト単位で同一の元ファイルが露出するとともに、再配布可能な恒久的な共有関係が作成されました。この問題はバージョン3.2.0で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.