TREK Travel Planner存在一个权限绕过漏洞，影响Immich trip photo management路由。在2.7.2版本之前，这些路由缺少必要的授权检查。该漏洞已在2.7.2版本中修复。
TREK（协作旅行规划器）中的CVE-2026-40185允许未经授权的用户访问并可能操纵Immich中的旅行照片管理。由于Immich旅行照片管理路由缺少适当的授权检查，攻击者理论上可以上传、删除或修改其他用户的照片。CVSS评分为7.1，表明中等风险。此漏洞可能会危及使用Immich集成功能的TREK用户的隐私和数据完整性。
利用此漏洞需要访问TREK API并了解如何与之交互。攻击者可以使用curl或Postman等工具向照片管理路由发送恶意请求，从而绕过缺失的授权检查。利用难度取决于网络配置和已实施的安全措施。虽然尚未报告在野外有任何主动利用，但如果未解决此漏洞，则会构成重大风险。
Organizations and individuals utilizing TREK Travel Planner for collaborative travel planning are at risk, particularly those running versions 1.0.0 through 2.7.2. Shared hosting environments where multiple users share the same TREK Travel Planner instance are also at increased risk, as a compromised account could potentially expose data for other users.
• nodejs / server:
journalctl -u trek-travel-planner | grep -i "authorization bypass"• generic web:
curl -I https://<trek-travel-planner-url>/immich/trip-photos/ # Check for 200 OK without authenticationdisclosure
漏洞利用状态
EPSS
0.03% (8% 百分位)
CISA SSVC
此漏洞的解决方案是将TREK更新到2.7.2或更高版本。此版本包含必要的授权修复，以防止未经授权访问Immich照片管理功能。强烈建议所有TREK用户尽快更新其安装，以降低被利用的风险。此外，请审查Immich访问权限，以确保只有授权用户才能访问旅行照片。监控系统日志以查找可疑活动。
Actualice TREK a la versión 2.7.2 o superior para mitigar la vulnerabilidad de autorización. Esta actualización implementa las verificaciones de autorización necesarias en las rutas de gestión de fotos de Immich, previniendo el acceso no autorizado a los datos.
漏洞分析和关键警报直接发送到您的邮箱。
TREK是一个协作旅行规划器，允许用户组织和共享他们的旅行计划。
Immich是一个自托管的照片管理应用程序。
请参阅TREK官方文档，了解如何更新到2.7.2或更高版本。
限制对TREK API的访问并审查Immich访问权限。
尚未报告在野外有任何主动利用，但建议更新以降低风险。
CVSS 向量