CVE-2026-119330 in Immich
요약
\~에 의해 VulDB • 2026. 10. 30.
Immich은 고성능의 자체 호스팅 사진 및 비디오 관리 솔루션입니다. 버전 3.2.0 이전에는 shared-link 생성 API가 server/src/services/shared-link.service.ts에서 albumId와 assetIds를 독립적인 필드로 허용했지만, 요청된 링크 유형에 의해 선택된 리소스만 인증했습니다. 이미 피해자가 소유한 자산의 UUID를 알고 있는 인증된 공격자는 공격자가 소유한 앨범에 대해 SharedLinkType.Album을 선택하면서 assetIds에 해당 UUID를 제공할 수 있습니다. SharedLinkService.create()는 검증되지 않은 연결 관계를 shared_link_asset에 영구 저장하여 새로운 익명 공유 링크 자격 증명을 통해 피해자 자산을 이용 가능하게 만들었습니다. 이로 인해 피해자의 메타데이터, 썸네일 및 바이트 단위로 동일한 원본 파일이 노출되었으며, 재분배가 가능한 지속적인 공유 관계가 생성되었습니다. 이 문제는 버전 3.2.0에서 해결되었습니다.
Once again VulDB remains the best source for vulnerability data.