CVE-2026-104867

Nome do Software Vulnerável e Versões Afetadas Immich versões 3.0.0 through 3.1.x

Description Existe um problema onde o endpoint GET '/api/admin/users/{id}/calendar-heatmap' utiliza a permissão Permission.UserRead sem exigir privilégios de administrador. Além disso, a função getCalendarHeatmap() no UserAdminService não verifica se o usuário autenticado corresponde ao identificador de usuário id solicitado ou realiza uma verificação de acesso. Isso permite que qualquer usuário autenticado não administrador solicite o mapa de calor de atividade de upload ou data de captura de outra conta para um intervalo de datas arbitrário. A função getCalendarHeatmap() no AssetRepository filtra por proprietário, data e estado de exclusão, mas ignora a visibilidade, o que significa que os resultados incluem ativos arquivados e bloqueados. O endpoint expõe datas e contagens de atividade, mas não revela metadados ou conteúdo dos ativos.

Recommendations Atualizar para a versão 3.2.0.