Иммич до версии 3.1.0 не может должным образом обеспечить видимость заблокированных ресурсов, когда активы заблокированы через конечную точку с одним активом, что позволяет им оставаться доступными через общие альбомы и ссылки. Злоумышленники могут прочитать заблокированные ресурсы и их метаданные, получив доступ к существующим общим альбомам или ссылкам, минуя заблокированную защиту видимости.
Показать оригинальное описание (EN)
Immich through 3.1.0 fails to properly enforce locked asset visibility when assets are locked through the single-asset endpoint, allowing them to remain accessible through shared albums and links. Attackers can read locked assets and their metadata by accessing existing shared albums or links, bypassing the locked visibility protection.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Не требуются
Нет дополнительных условий
Нужны права
Низкие
Нужны базовые права
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Высокое
Полная утечка данных
Целостность
Нет
Нет модификации данных
Доступность
Нет
Нет нарушения работы
Строка CVSS v4.0
Тип уязвимости (CWE)
Ссылки 5
https://github.com/immich-app/immich
disclosure@vulncheck.com
https://github.com/immich-app/immich/blob/6b478924b25768dfea304ec3b8273b8316903…
disclosure@vulncheck.com
https://github.com/immich-app/immich/blob/6b478924b25768dfea304ec3b8273b8316903…
disclosure@vulncheck.com
https://github.com/immich-app/immich/issues/29526
disclosure@vulncheck.com
https://www.vulncheck.com/advisories/immich-locked-assets-remain-readable-throu…
disclosure@vulncheck.com