CVE-2026-35455

Name of the Vulnerable Software and Affected Versions imich versões anteriores a 2.7.0

Description Existe um problema de Cross-Site Scripting (XSS) armazenado no visualizador de panorama de 360°. Um usuário autenticado pode executar JavaScript arbitrário no navegador de outro usuário que visualiza um panorama malicioso com a sobreposição OCR ativada. O invasor carrega uma imagem equirretangular contendo texto criado. O OCR extrai o texto e o visualizador de panorama o renderiza usando innerHTML sem higienização. Isso pode levar ao sequestro de sessão (via criação persistente de chave de API), exfiltração de fotos privadas e acesso ao histórico de localização GPS e dados biométricos faciais.

Recommendations Atualize para a versão 2.7.0 ou posterior.