- Son 7 gün
- CWE-284
- CWE-639
- CWE-1220
CVE-2026-104867
Immich calendar heatmap endpoint discloses cross-user activity through broken access control
- Yayımlandı
- Güncellendi
- 5 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- GitHub_M
Özet
Türkçe özeti yalnızca kritik ve yüksek önemdeki açıklar için hazırlıyoruz. Bu açık için kaynağın kendi açıklamasını gösteriyoruz.
Immich is a high-performance self-hosted photo and video management solution. From 3.0.0 until 3.2.0, the GET /api/admin/users/{id}/calendar-heatmap route in server/src/controllers/user-admin.controller.ts uses the ordinary Permission.UserRead permission without an admin-route requirement, and UserAdminService.getCalendarHeatmap in server/src/services/user-admin.service.ts does not compare the authenticated user with the requested user identifier or perform a separate access check. Any authenticated non-admin user can therefore request another account's upload or capture-date activity heatmap for an arbitrary date range. AssetRepository.getCalendarHeatmap in server/src/repositories/asset.repository.ts filters by owner, date, and deletion state but not visibility, so the returned daily counts and total count include archived and locked assets. The route exposes counts and activity dates but does not return asset metadata or content, and it does not affect integrity or availability. This issue is fixed in version 3.2.0.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| immich-app immich | Sürüm belirtilmemiş | – |
Kaynaklar7 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/…immich/security/advisories/GHSA-g82p-27g4-864h Diğer
- github.com/immich-app/immich/pull/30310 Diğer
- github.com/…ommit/6c86d39f6d9955fc5e2998ce808e6f794b5ebd5e Diğer
- github.com/…ommit/f68815e35f4677dbc3a8ff58a7402952672dfceb Diğer
- github.com/immich-app/immich/releases/tag/v3.2.0 Diğer
Kayıt geçmişi
- Yayımlandı