PT-2026-30190 · Immich · Immich

Rvizx · Publicado 2026-04-03 · Atualizado 2026-04-03 · CVE-2026-25118

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Name of the Vulnerable Software and Affected Versions imich versões anteriores a 2.6.0

Description Em versões anteriores a 2.6.0, a aplicação Immich divulga credenciais quando um usuário se autentica em um álbum compartilhado. A aplicação transmite a senha do álbum dentro dos parâmetros de consulta da URL em uma solicitação GET para o endpoint /api/shared-links/me. Isso expõe a senha no histórico do navegador, logs de proxy, logs do servidor e cabeçalhos de referência, potencialmente levando ao acesso não autorizado a álbuns compartilhados e à exposição de dados do usuário.

Recommendations Atualize para a versão 2.6.0 ou posterior.

Correção

Enumeração de Fraquezas

CWE-598

Identificadores relacionados

CVE-2026-25118

Produtos afetados

Immich

Referências · 6

• https://github.com/immich-app/immich/security/advisories/GHSA-78x4-6x83-jx75 · Aviso do Fabricante
• https://github.com/immich-app/immich/pull/26868 · Correção
• https://github.com/immich-app/immich/pull/26886 · Correção
• https://github.com/immich-app/immich/releases/tag/v2.6.0 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-25118 · Nota de Segurança
• https://twitter.com/CVEnew/status/2040111814311305457 · Publicação no Twitter