CVE-2026-35455
WysokieCVSS 7.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Immich przed wersją 2.7.0 zawiera podatność Stored XSS w przeglądarce panoram 360°. Uwierzytelniony użytkownik może przesłać złośliwy obraz, którego tekst po OCR jest renderowany bez sanityzacji, co pozwala na wykonanie dowolnego JavaScriptu w przeglądarce innych użytkowników.
Ocena ryzyka
Ryzyko obejmuje przejęcie sesji, kradzież zdjęć, danych lokalizacji GPS oraz danych biometrycznych twarzy.
Rekomendacja
Należy zaktualizować Immich do wersji 2.7.0 lub nowszej.
Inne podatności w Immich
Zobacz wszystkie- CVE-2026-53662Krytyczne
Immich, rozwiązanie do zarządzania zdjęciami i filmami, ma podatność na refleksyjny atak XSS na stronie /auth/login. Atakujący może przejąć konto uwierzytelnionego użytkownika za pomocą jednego kliknięcia w link.
- CVE-2026-82272Średnie
Immich do wersji 3.1.0 nie egzekwuje prawidłowo widoczności zablokowanych zasobów, gdy zasoby są blokowane przez punkt końcowy pojedynczego zasobu, co pozwala im pozostać dostępnymi przez udostępnione albumy i linki. Atakujący mogą odczytać zablokowane zasoby i ich metadane, uzyskując dostęp do istniejących udostępnionych albumów lub linków, omijając ochronę widoczności zablokowanych zasobów.
- CVE-2026-59258Wysokie
Podatność w systemie Immich przed wersją 3.0.3 w punkcie końcowym PUT /albums/:id/user/:userId pozwala edytorom współdzielonych albumów na zmianę ról członków bez wymaganych uprawnień właściciela. Atakujący z dostępem edytora może w sekwencyjnych żądaniach zdegradować właściciela albumu do roli edytora i awansować siebie na właściciela, uzyskując pełną kontrolę nad albumem.
- CVE-2026-25118Wysokie
Immich przed wersją 2.6.0 ma podatność na ujawnienie poświadczeń podczas uwierzytelniania do udostępnionego albumu. Hasło albumu jest przesyłane w parametrach zapytania URL w żądaniu GET do /api/shared-links/me, co naraża je na zapis w historii przeglądarki, logach proxy i serwera oraz nagłówkach referrer.
Oryginalny opis (angielski, źródło NVD)
immich is a high performance self-hosted photo and video management solution. Prior to 2.7.0, sStored Cross-Site Scripting (XSS) in the 360° panorama viewer allows any authenticated user to execute arbitrary JavaScript in the browser of any other user who views the malicious panorama with the OCR overlay enabled. The attacker uploads an equirectangular image containing crafted text; OCR extracts it, and the panorama viewer renders it via innerHTML without sanitization. This enables session hijacking (via persistent API key creation), private photo exfiltration, and access to GPS location history and face biometric data. This vulnerability is fixed in 2.7.0.