CVE-2026-59258

إصدارات immich الأقدم من 3.0.3

يوجد خلل في التحكم في الوصول في نقطة النهاية ’PUT /albums/:id/user/:userId‘. تسمح هذه المشكلة للمستخدمين الذين يتمتعون بأذونات المحرر في ألبوم مشترك بتعديل أدوار الأعضاء لأن القيود الخاصة بالمالك فقط لا يتم تطبيقها بشكل صحيح. يمكن للمهاجم الذي يتمتع بوصول المحرر تنفيذ طلبات متتالية لتخفيض رتبة مالك الألبوم إلى محرر وترقية نفسه إلى دور المالك، مما يمنحه السيطرة الكاملة على الألبوم، بما في ذلك القدرة على حذف المحتوى وطرد الأعضاء الآخرين.

قم بالتحديث إلى الإصدار 3.0.3 أو أحدث.

قم بتقييد الوصول إلى نقطة النهاية ’PUT /albums/:id/user/:userId‘ لمنع التعديلات غير المصرح بها على الأدوار.