CVE-2026-35455
Açıklama
immich yüksek performanslı, kendi sunucunuzda barındırabileceğiniz bir fotoğraf ve video yönetim çözümüdür. 2.7.0 sürümünden önce, 360° panorama görüntüleyicide bulunan Saklı Siteler Arası Betik Çalıştırma (XSS) zafiyeti, kimliği doğrulanmış herhangi bir kullanıcının, kötü amaçlı panoramayı OCR katmanı etkin şekilde görüntüleyen diğer kullanıcıların tarayıcısında rastgele JavaScript kodu çalıştırmasına olanak tanır. Saldırgan, özel olarak hazırlanmış metin içeren bir equirectangular görüntü yükler; OCR bu metni çıkarır ve panorama görüntüleyici bunu temizleme işlemi yapmadan innerHTML aracılığıyla işler. Bu durum; oturum çalmaya (kalıcı API anahtarı oluşturma yoluyla), özel fotoğrafların dışarı sızdırılmasına, GPS konum geçmişine ve yüz biyometrik verilerine erişime imkan verir. Bu zafiyet 2.7.0 sürümünde giderilmiştir.
Nasıl düzeltilir
- futo immich2.7.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| futo immich | 2.6.0 ≤ v < 2.7.0 | 2.7.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.