PT-2026-33001 · Immich · Immich

Publicado 2026-04-14 · Atualizado 2026-04-15 · CVE-2026-40096

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Name of the Vulnerable Software and Affected Versions immich versões anteriores a 2.7.3

Description Um redirecionamento aberto existe na funcionalidade de álbuns compartilhados. Um invasor registrado pode criar um álbum compartilhado com um nome manipulado contendo um payload malicioso. Esse payload é inserido sem sanitização em uma tag dentro de 'api.service.ts'. Quando a vítima abre o link de compartilhamento, o navegador renderiza o payload na tag , causando um redirecionamento para um site controlado pelo invasor. Isso pode ser usado para facilitar ataques de phishing, direcionando usuários para uma página de autenticação falsa para coletar credenciais de login.

Recommendations Atualizar para a versão 2.7.3.

Correção

XSS

Open Redirect

Enumeração de Fraquezas

CWE-79

CWE-601

Identificadores relacionados

CVE-2026-40096

Produtos afetados

Immich

Referências · 4

• https://github.com/immich-app/immich/releases/tag/v2.7.3 · Nota
• https://github.com/immich-app/immich/security/advisories/GHSA-24fq-72x8-v7hm · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2044338860491182153 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-40096 · Nota de Segurança