CVE-2026-119330 in Immich
Sumário
de VulDB • 30/10/2026
Immich é uma solução de gerenciamento de fotos e vídeos auto-hospedada de alto desempenho. Antes da versão 3.2.0, a API de criação de link compartilhado aceitava albumId e assetIds como campos independentes em server/src/services/shared-link.service.ts, mas autorizava apenas o recurso selecionado pelo tipo de link solicitado. Um atacante autenticado que já conhecesse um UUID de ativo pertencente à vítima poderia selecionar SharedLinkType.Album para um álbum de propriedade do atacante enquanto fornecia esse UUID em assetIds; SharedLinkService.create() persistiu a associação não verificada em shared_link_asset e tornou o ativo da vítima disponível por meio das novas credenciais de link compartilhado anônimo. Isso expôs metadados, miniaturas e o arquivo original idêntico ao byte da vítima, além de criar um relacionamento de compartilhamento persistente que poderia ser redistribuído. Este problema foi corrigido na versão 3.2.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.