CVE-2026-53662: Immich: XSS refletido na página de login permite tomada de conta
Uma falha de XSS refletido na página de login do Immich (CWE-79) permite que um link especialmente preparado execute JavaScript na origem da aplicação. Segundo o registro, isso pode ser usado para criar uma chave de API com todas as permissões na conta da vítima, gerando tomada de conta persistente. O aviso indica correção no commit 4eb1003, e o CVE não consta no KEV da CISA.
Visão geral
O Immich é uma aplicação autohospedada para gerenciamento de fotos e vídeos. De acordo com o GitHub Security Advisory, a página /auth/login repassa o parâmetro continue a um redirecionamento do SvelteKit sem validar esquema ou origem, o que se enquadra como XSS previsto no CWE-79.
Impacto
O registro descreve um caminho em que a execução de script na origem do Immich leva à criação de uma chave de API com todas as permissões para a vítima, que persistiria após o fim da sessão. O vetor CVSS 3.1 informado pelo GitHub é AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H, com pontuação base 9.6, classificada como crítica.
- Confidencialidade, integridade e disponibilidade são avaliadas como altas no vetor.
- Exige interação do usuário, especificamente um único clique em um link.
Produtos e versões afetadas
O registro estruturado não lista intervalos de versões afetadas. A descrição delimita o problema pelos commits 4ffa26c9 e 4eb1003, mas o mapeamento desses commits para versões publicadas é desconhecido nas fontes consultadas. Consulte o commit de correção e o aviso para detalhes de release.
Status de exploração
O KEV da CISA não lista este CVE no registro. Não há evidência de exploração confirmada no mundo real nas fontes consultadas.
Correção e mitigação
- Atualize para uma versão que inclua o commit 4eb1003 ou posterior. O registro não informa a versão de release.
- Até a correção, limite a exposição da página de login quando possível e evite abrir links não confiáveis enquanto estiver autenticado na instância.
- Revise as chaves de API de contas que possam ter acessado links suspeitos e remova qualquer chave não reconhecida pelo titular.
- Renove as credenciais de sessão caso haja suspeita de comprometimento.
Orientações de detecção
- Analise os logs de acesso em busca de requisições a /auth/login com valores incomuns no parâmetro continue.
- Monitore a criação de chaves de API, sobretudo as com permissões amplas, e correlacione com atividades inesperadas de usuários.
Limitações das informações disponíveis
O registro não traz lista de versões afetadas, versão de correção, pontuação CVSS avaliada pelo NVD, nem valores de EPSS e SSVC, portanto esses pontos permanecem desconhecidos. Não há outras mitigações descritas além do commit de correção.
Perguntas frequentes
A vítima precisa fazer alguma ação?
Segundo o registro, a exploração exige que a vítima autenticada clique em um único link preparado. Evite links não confiáveis enquanto estiver logado e mantenha a instância atualizada.
Há correção confirmada?
O registro afirma que a vulnerabilidade está corrigida no commit 4eb1003. Ele não informa a versão de release, então os administradores devem consultar o aviso para identificar a versão que inclui esse commit.
Esta vulnerabilidade é explorada ativamente?
O KEV da CISA não lista este CVE no registro, e não há exploração confirmada nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.