CVE-2026-119329

Nome do Software Vulnerável e Versões Afetadas Immich versões anteriores a 3.0.0

Description Existe um problema onde um parceiro com permissão apenas de visualização pode enumerar a existência e as coordenadas de GPS de fotos ou vídeos arquivados de um compartilhador. Isso ocorre porque o endpoint "/api/map/markers" utiliza server/src/services/map.service.ts para adicionar identificadores de proprietários parceiros quando withPartners é definido como true, enquanto server/src/repositories/map.repository.ts aplica a visibilidade de arquivo a cada proprietário selecionado quando isArchived é true. Embora a linha do tempo e os caminhos de acesso direto excluam ativos arquivados de parceiros, essa falha permite a exposição de metadados de localização e identificadores de ativos. Os bytes da imagem permanecem protegidos pela função checkPartnerAccess().

Recommendations Atualizar para a versão 3.0.0.