CVE-2026-40096 in immich
Сводка
по VulDB • 26.05.2026
immich — это высокопроизводительное решение для самостоятельного размещения (self-hosted) управления фотографиями и видео. Версии старше 2.7.3 содержат уязвимость открытого перенаправления (open redirect) в функциональности общих альбомов, где имя альбома вставляется без санитизации в тег <meta> в файле api.service.ts. Зарегистрированный злоумышленник может создать общий альбом с поддельным именем, содержащим <meta content="0;url=https://attackersite.com" http-equiv="refresh">, что при рендеринге в теге <meta> приводит к перенаправлению браузера жертвы на сайт, контролируемый злоумышленником, при открытии ссылки на общий доступ. Это облегчает фишинговые атаки, поскольку злоумышленник может разместить модифицированную версию immich, которая собирает учетные данные входа у жертв, полагающих, что им необходимо пройти аутентификацию для просмотра общего альбома. Эта проблема исправлена в версии 2.7.3.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.