| タイトル | FUTOのImmichにおける複数の脆弱性 |
|---|---|
| 概要 | immichは高性能なセルフホステッドの写真およびビデオ管理ソリューションです。バージョン2.7.3以前には、共有アルバム機能にオープンリダイレクトの脆弱性が存在しており、アルバム名がapi.service.tsのmetaタグに無加工で挿入されていました。登録済みの攻撃者は、「0;url=https://attackersite.com" http-equiv="refresh"」を含む細工された名前の共有アルバムを作成でき、これがmeta property="og:title"タグにレンダリングされると、被害者のブラウザが共有リンクを開いた際に攻撃者が制御するサイトへリダイレクトされます。これにより、攻撃者は共有アルバムを見るために認証が必要だと信じてしまう被害者からログイン資格情報を収集する改変版immichをホストするフィッシング攻撃を行うことが可能になります。この問題はバージョン2.7.3で修正されました。 |
| 想定される影響 | 当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。 さらに、当該ソフトウェアは停止しません。 そして、この脆弱性を悪用した攻撃により、他のソフトウェアにも影響が及ぶ可能性があります。 |
| 対策 | 正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 |
| 公表日 | 2026年4月15日0:00 |
| 登録日 | 2026年4月24日11:42 |
| 最終更新日 | 2026年4月24日11:42 |
| CVSS3.0 : 警告 | |
| スコア | 5.4 |
|---|---|
| ベクター | CVSS:3.0/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N |
| FUTO |
| Immich 2.7.3 未満 |
| No | 変更内容 | 変更日 |
|---|---|---|
| 1 | [2026年04月24日] 掲載 |
2026年4月24日11:42 |
| 概要 | immich is a high performance self-hosted photo and video management solution. Versions prior to 2.7.3 contain an open redirect vulnerability in the shared album functionality, where the album name is inserted unsanitized into a <meta> tag in api.service.ts. A registered attacker can create a shared album with a crafted name containing 0;url=https://attackersite.com" http-equiv="refresh, which when rendered in the <meta property="og:title"> tag causes the victim's browser to redirect to an attacker-controlled site upon opening the share link. This facilitates phishing attacks, as the attacker could host a modified version of immich that collects login credentials from victims who believe they need to authenticate to view the shared album. This issue has been fixed in version 2.7.3. |
|---|---|
| 公表日 | 2026年4月15日13:17 |
| 登録日 | 2026年4月17日4:11 |
| 最終更新日 | 2026年4月24日0:26 |
| 構成1 | 以上 | 以下 | より上 | 未満 | |
| cpe:2.3:a:futo:immich:*:*:*:*:*:docker:*:* | 2.7.3 | ||||