TREK असुरक्षा: CVE-2026-40185 – Immich फोटो प्रबंधन

TREK (सहयोगात्मक यात्रा योजनाकार) में CVE-2026-40185 अनधिकृत उपयोगकर्ताओं को Immich में यात्रा फोटो प्रबंधन तक पहुंचने और संभावित रूप से हेरफेर करने की अनुमति देता है। Immich यात्रा फोटो प्रबंधन मार्गों पर उचित प्राधिकरण जांचों की कमी के कारण, एक हमलावर सैद्धांतिक रूप से अन्य उपयोगकर्ताओं की तस्वीरें अपलोड, हटा या संशोधित कर सकता है। CVSS स्कोर 7.1 है, जो मध्यम जोखिम दर्शाता है। यह भेद्यता उन TREK उपयोगकर्ताओं के डेटा की गोपनीयता और अखंडता से समझौता कर सकती है जो Immich एकीकरण का उपयोग करते हैं।

Organizations and individuals utilizing TREK Travel Planner for collaborative travel planning are at risk, particularly those running versions 1.0.0 through 2.7.2. Shared hosting environments where multiple users share the same TREK Travel Planner instance are also at increased risk, as a compromised account could potentially expose data for other users.

• nodejs / server:

  journalctl -u trek-travel-planner | grep -i "authorization bypass"

• generic web:

  curl -I https://<trek-travel-planner-url>/immich/trip-photos/  # Check for 200 OK without authentication

1. 2026-04-10Disclosure

   disclosure

1. आरक्षित2026-04-09
2. प्रकाशित2026-04-10
3. संशोधित2026-04-15
4. EPSS अद्यतन2026-04-18

इस भेद्यता का समाधान TREK को संस्करण 2.7.2 या उच्चतर में अपडेट करना है। इस संस्करण में आवश्यक प्राधिकरण सुधार शामिल हैं ताकि Immich फोटो प्रबंधन कार्यों तक अनधिकृत पहुंच को रोका जा सके। TREK उपयोगकर्ताओं को शोषण के जोखिम को कम करने के लिए जल्द से जल्द अपने इंस्टॉलेशन को अपडेट करने की दृढ़ता से अनुशंसा की जाती है। इसके अतिरिक्त, यात्रा की तस्वीरों तक पहुंच को Immich में समीक्षा करें ताकि यह सुनिश्चित हो सके कि केवल अधिकृत उपयोगकर्ताओं के पास पहुंच है। संदिग्ध गतिविधि के लिए सिस्टम लॉग की निगरानी करें।