Vulnerabilidad en immich de immich-app (CVE-2026-35455)

Gravedad CVSS v3.1:

ALTA

Tipo:

CWE-79 Neutralización incorrecta de la entrada durante la generación de la página web (Cross-site Scripting)

Fecha de publicación:

08/04/2026

Última modificación:

24/07/2026

Descripción

immich es una solución de gestión de fotos y videos autoalojada de alto rendimiento. Antes de la versión 2.7.0, un cross-site scripting (XSS) almacenado en el visor de panoramas de 360° permite a cualquier usuario autenticado ejecutar JavaScript arbitrario en el navegador de cualquier otro usuario que vea el panorama malicioso con la superposición de OCR habilitada. El atacante sube una imagen equirectangular que contiene texto manipulado; el OCR lo extrae, y el visor de panoramas lo renderiza a través de innerHTML sin sanitización. Esto permite el secuestro de sesión (mediante la creación persistente de claves API), la exfiltración de fotos privadas y el acceso al historial de ubicación GPS y a los datos biométricos faciales. Esta vulnerabilidad está corregida en la versión 2.7.0.

Impacto

Vector 3.x

CVSS:3.1/AV:L/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 7.30 ALTA
Vector: CVSS:3.1/AV:L/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H

Vector de acceso (AV): Local
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Obligatorio
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto

Puntuación base 3.x

7.30

Gravedad 3.x

ALTA

Productos y versiones vulnerables

CPE	Desde	Hasta
cpe:2.3:a:futo:immich::::::docker::*	2.6.0 (incluyendo)	2.7.0 (excluyendo)

Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página

Referencias a soluciones, herramientas e información

https://github.com/immich-app/immich/security/advisories/GHSA-9qx4-67jm-cc66