CVE-2026-119330— Immich 越权创建他人相册共享链接漏洞
一分钟漏洞结论
影响对象
immich-app immich
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
Immich 是一个高性能的自托管照片与视频管理解决方案。在 3.2.0 版本之前，其共享链接创建 API（位于 ）将 和 作为独立字段接收，但仅对请求中指定的链接类型所对应的资源进行授权。若一名已认证的攻击者事先知晓某受害者拥有的资源 UUID，即可在创建共享链接时选择 指向攻击者自身拥有的相册，同时将受害者的资源 UUID 填入 字段。 方法会将该未经校验的关联关系持久化至 表中，导致受害者的资源可通过新生成的匿名共享链接凭证被访问。此漏洞暴露了受害者的元数据、缩略图以及字节完全相同的原始文件，并建立了一种可被
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-119330 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
Immich: A regular user can create SharedLink for album/asset belonging to another user through CreateSharedLink API
来源: CVE Program / CVE List V5
Vulnerability Description
Immich is a high-performance self-hosted photo and video management solution. Prior to 3.2.0, the shared-link creation API accepted albumId and assetIds as independent fields in server/src/services/shared-link.service.ts but authorized only the resource selected by the requested link type. An authenticated attacker who already knew a victim-owned asset UUID could select SharedLinkType.Album for an attacker-owned album while supplying that UUID in assetIds; SharedLinkService.create() persisted the unchecked association in shared_link_asset and made the victim asset available through the new anonymous shared-link credential. This exposed victim metadata, thumbnails, and the byte-identical original file and created a persistent sharing relationship that could be redistributed. This issue is fixed in version 3.2.0.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:L/I:N/A:N
来源: CVE Program / CVE List V5
Vulnerability Type
授权机制不恰当
来源: CVE Program / CVE List V5
受影响产品
| 厂商 | 产品 | 影响版本 | CPE | 订阅 |
|---|---|---|---|---|
| immich-app | immich | < 3.2.0 | - |
|
二、漏洞 CVE-2026-119330 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-119330 的情报信息
请登录查看更多情报信息。
CVE-2026-119330 其他参考 (4)
-
https://github.com/immich-app/immich/pull/30762 x_refsource_MISC
-
https://github.com/immich-app/immich/releases/tag/v3.2.0 x_refsource_MISC
-
https://github.com/immich-app/immich/security/advisories/GHSA-g4w3-c888-cr93 x_refsource_CONFIRM
同批安全公告 · immich-app · 2026-10-30 · 共 3 条
| CVE-2026-119328 | 6.5 MEDIUM | Immich 机器学习服务未认证路径注入漏洞 |
| CVE-2026-119329 | 4.3 MEDIUM | Immich 合作伙伴共享泄露分享者归档资产 GPS 坐标 |