PT-2026-134166
CVE-2026-119329
·
تاريخ النشر
2026-10-30
·
تاريخ التحديث
2026-10-30
الوصف من
CVSS 3.1
4.3
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
Immich الإصدارات السابقة لـ 3.0.0
Description
توجد مشكلة تسمح للشريك الذي يملك صلاحية العرض فقط بتعداد وجود وإحداثيات GPS للصور أو مقاطع الفيديو المؤرشفة الخاصة بالمشارك. يحدث هذا لأن نقطة النهاية "/api/map/markers" تستخدم
server/src/services/map.service.ts لإضافة معرفات مالكي الشركاء عندما تكون القيمة withPartners صحيحة، بينما يقوم server/src/repositories/map.repository.ts بتطبيق رؤية الأرشيف على كل مالك مختار عندما تكون القيمة isArchived صحيحة. على الرغم من أن الجدول الزمني ومسارات الوصول المباشر تستبعد أصول الشركاء المؤرشفة، إلا أن هذا الخلل يسمح بكشف البيانات الوصفية للموقع ومعرفات الأصول. تظل بايتات الصور محمية بواسطة الدالة checkPartnerAccess().Recommendations
التحديث إلى الإصدار 3.0.0.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾