PT-2026-137558
CVE-2026-104867
·
تاريخ النشر
2026-11-05
·
تاريخ التحديث
2026-11-05
الوصف من
CVSS 3.1
4.3
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
Immich الإصدارات من 3.0.0 إلى 3.1.x
Description
توجد مشكلة حيث يستخدم نقطة النهاية GET '/api/admin/users/{id}/calendar-heatmap' إذن
Permission.UserRead دون طلب صلاحيات المسؤول. بالإضافة إلى ذلك، فإن الدالة getCalendarHeatmap() في UserAdminService لا تتحقق مما إذا كان المستخدم المصادق عليه يتطابق مع معرف المستخدم id المطلوب أو تجري فحصًا للوصول. يسمح هذا لأي مستخدم مصادق عليه وغير مسؤول بطلب خريطة النشاط الحرارية لعمليات الرفع أو تاريخ الالتقاط لحساب آخر لنطاق زمني عشوائي. تقوم الدالة getCalendarHeatmap() في AssetRepository بالتصفية حسب المالك والتاريخ وحالة الحذف ولكنها تتجاهل الرؤية، مما يعني أن النتائج تشمل الأصول المؤرشفة والمغلقة. تعرض نقطة النهاية تواريخ وعدد النشاطات ولكنها لا تكشف عن البيانات الوصفية للأصول أو محتواها.Recommendations
التحديث إلى الإصدار 3.2.0.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾