CVE-2026-104867 in Immich
요약
\~에 의해 VulDB • 2026. 11. 05.
Immich은 고성능의 자체 호스팅 사진 및 비디오 관리 솔루션입니다. 버전 3.0.0부터 3.2.0까지 `server/src/controllers/user-admin.controller.ts`에 있는 GET /api/admin/users/{id}/calendar-heatmap 엔드포인트는 관리자 라우트 요구 사항 없이 일반 Permission.UserRead 권한을 사용하며, `server/src/services/user-admin.service.ts`의 UserAdminService.getCalendarHeatmap은 인증된 사용자 요청된 사용자 식별자를 비교하거나 별도의 접근 검사를 수행하지 않습니다. 따라서 모든 인증된 비관리자 사용자는 임의의 날짜 범위에 대해 다른 계정의 업로드 또는 캡처일 활동 히트맵을 요청할 수 있습니다. `server/src/repositories/asset.repository.ts`의 AssetRepository.getCalendarHeatmap은 소유자, 날짜 및 삭제 상태로 필터링하지만 가시성으로는 필터링하지 않으므로 반환되는 일별 카운트와 총 카운트는 보관된 자산과 잠긴 자산을 포함합니다. 이 엔드포인트는 카운트와 활동 날짜를 노출하지만 자산 메타데이터나 콘텐츠는 반환하지 않으며 무결성이나 가용성에 영향을 미치지 않습니다. 이 문제는 버전 3.2.0에서 해결되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.