CVE-2026-53662
Təsvir
Immich yüksək performanslı, özünə məxsus serverdə yerləşdirilən foto və video idarəetmə həllidir. 4ffa26c9 commit-indən 4eb1003 commit-inə qədər olan müddətdə, /auth/login səhifəsindəki əks olunmuş saytlararası skriptinq (XSS) boşluğu hücumçuya tək bir link klikləməklə hər hansı autentifikasiya olunmuş istifadəçinin hesabını tamamilə ələ keçirməyə imkan verir. continue sorğu parametri URL-dən oxunur və heç bir sxem və ya mənşə yoxlamasından keçmədən SvelteKit-in redirect() funksiyasına ötürülür ki, bu da hücumçu tərəfindən idarə olunan JavaScript kodunun Immich mənşəyi daxilində icra edilməsinə şərait yaradır. Daha sonra faydalı yük (payload) qurbanın mövcud sessiyasından istifadə edərək onun hesabında bütün icazələrə malik API açarı yaradır və bu da hesabın daimi ələ keçirilməsinə səbəb olur. Bu boşluq 4eb1003 commit-ində düzəldilmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| immich-app immich | >= main@4ffa26c9, < main@4eb1003 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.