CVE-2026-108165

Nome do Software Vulnerável e Versões Afetadas Immich versões anteriores a 3.3.2

Descrição Existe uma falha de autorização no fluxo de sincronização de parceiros. Parceiros autenticados podem acessar metadados de ativos na Pasta Bloqueada (Locked Folder) porque as consultas de sincronização não excluem a visibilidade de itens bloqueados. Um invasor com um relacionamento de parceria ativo pode utilizar o endpoint 'POST /api/sync/stream' com os tipos PartnerAssetsV2 e PartnerAssetExifsV1 para obter informações sensíveis, como coordenadas de GPS, horários de captura, descrições e detalhes da câmera.

Recomendações Atualize para a versão 3.3.2 ou posterior.