هل immich-app/immich بخير؟

لا.

ثغرة يستخدمها المهاجمون الآن.

داخلي: 79 ثغرات في الاختبارات والأدوات، لا يصل أي منها إلى مستخدميك.

تم الفحص 17:07 UTCcommit 256eb55التنبيهات حتى 16:51 UTC

لم نتمكن من قراءة mobile/ios/Podfile.lock، لذلك تغطي هذه الإجابة بقية المستودع فقط.

لا يوجد ملف قفل لـ mobile/android/gradle/libs.versions.toml: فحصنا فقط الإصدارات المكتوبة فيه، لا الحزم التي تجلبها.

انشر على X

13 أشياء يجب تحديثها

حدّث fastapiالمهاجمون يستخدمونها الآنقد يقرأ أحدهم بيانات لا ينبغي أن يراها.
- starlette 0.50.05 ثغراتتم الإصلاح في 1.3.1المهاجمون يستخدمونها الآن
  ثغرة لم يُوضَّح أثرها. من أي مكان على الإنترنت، دون حساب.
  - GHSA-86qp-5c8j-p5mrStarlette has missing Host header validation that poisons request.url.path, bypassing path-based security checks
  - GHSA-wqp7-x3pw-xc5rStarlette: SSRF and NTLM credential theft via UNC paths in StaticFiles on Windows
  - GHSA-82w8-qh3p-5jfqStarlette: request.form() limits silently ignored for application/x-www-form-urlencoded enable DoS
  - GHSA-x746-7m8f-x49cStarlette: Arbitrary HTTP method dispatched to `HTTPEndpoint` attributes via `getattr`
  - GHSA-jp82-jpqv-5vv3Starlette: Unvalidated request path concatenated into authority poisons request.url.hostname
- anyio 4.2.02 ثغراتتم الإصلاح في 4.14.2
  قد يجعله أحدهم يتعطل أو يتجمد. بالوصول إلى الجهاز فقط.
  - GHSA-5p39-cfhj-2xmpAnyIO process-pool workers can block indefinitely on undrained stderr
  - GHSA-82r6-8w77-94w6AnyIO: TLSStream IDNA 2003 host name encoding enables potential TLS certificate spoofing
حدّث happy-dom إلى 21.0.4قد يشغّل أحدهم شيفرته الخاصة حيث يعمل.
- happy-dom 21.0.31 ثغرةتم الإصلاح في 21.0.4
  قد يشغّل أحدهم شيفرته الخاصة حيث يعمل. من أي مكان على الإنترنت، دون حساب.
  - GHSA-834v-8h66-3h79Happy DOM: Incomplete fix for CVE-2026-33943: unsanitized import alias leads to host code execution
حدّث huggingface-hubقد يشغّل أحدهم شيفرته الخاصة حيث يعمل.
- fsspec 2023.12.21 ثغرةتم الإصلاح في 2026.6.0
  قد يشغّل أحدهم شيفرته الخاصة حيث يعمل. من أي مكان على الإنترنت، دون حساب.
  - GHSA-27vj-qcqg-25rcfsspec: Server-Side Template Injection in ReferenceFileSystem leads to Remote Code Execution

حدّث fastlaneقد يقرأ أحدهم بيانات لا ينبغي أن يراها.
- rubyzip 2.3.21 ثغرةتم الإصلاح في 3.4.0
  قد يقرأ أحدهم بيانات لا ينبغي أن يراها. من أي مكان على الإنترنت، دون حساب.
  - GHSA-47m2-wp7j-p9vcrubyzip path traversal vulnerability
- faraday 1.10.32 ثغراتتم الإصلاح في 1.10.6
  قد يقرأ أحدهم بيانات لا ينبغي أن يراها. من أي مكان على الإنترنت، دون حساب.
  - GHSA-33mh-2634-fwr2Faraday affected by SSRF via protocol-relative URL host override in build_exclusive_url
  - GHSA-98m9-hrrm-r99rFaraday: Uncontrolled recursion in NestedParamsEncoder allows stack exhaustion DoS via deeply nested query parameters
- عرض 3 أخرى
  - jwt 2.8.11 ثغرةتم الإصلاح في 2.10.3
    قد ينتحل أحدهم صفة مستخدم آخر. من أي مكان على الإنترنت، دون حساب.
    GHSA-c32j-vqhx-rx3xruby-jwt: Empty-key HMAC bypass; cross-language sibling of CVE-2026-44351
  - addressable 2.8.61 ثغرةتم الإصلاح في 2.9.0
    قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
    GHSA-h27x-rffw-24p4Addressable has a Regular Expression Denial of Service in Addressable templates
  - rexml 3.2.85 ثغراتتم الإصلاح في 3.3.9
    قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
    GHSA-vmwr-mc7x-5vc3REXML denial of service vulnerability
    GHSA-2rxp-v6pw-ch6mREXML ReDoS vulnerability
    GHSA-4xqq-m2hx-25v8REXML denial of service vulnerability
    GHSA-5866-49gr-22v4REXML DoS vulnerability
    GHSA-r55c-59qm-vjw6REXML DoS vulnerability
حدّث rapidocrقد يقرأ أحدهم بيانات لا ينبغي أن يراها.
- urllib3 2.6.26 ثغراتتم الإصلاح في 2.8.0
  قد يقرأ أحدهم بيانات لا ينبغي أن يراها. من أي مكان على الإنترنت، دون حساب.
  - GHSA-qccp-gfcp-xxvcurllib3: Sensitive headers forwarded across origins in proxied low-level redirects
  - GHSA-38jv-5279-wg99Decompression-bomb safeguards bypassed when following HTTP redirects (streaming API)
  - GHSA-mf9v-mfxr-j63jurllib3: Decompression-bomb safeguards bypassed in parts of the streaming API
  - GHSA-vxq7-64xx-v4gwurllib3: HTTPResponse.stream()/read_chunked() buffers an unbounded chunk-size line into memory
  - GHSA-gh4c-6fx4-qh6gurllib3: Chunked Deflate streaming can enter an infinite loop
  - GHSA-8988-9cw3-xx77urllib3: HTTPS proxy TLS configuration may be ignored or overridden
حدّث react-emailقد يقرأ أحدهم بيانات لا ينبغي أن يراها.
- fast-uri 3.1.411 ثغراتتم الإصلاح في 3.1.9
  قد يقرأ أحدهم بيانات لا ينبغي أن يراها. من أي مكان على الإنترنت، دون حساب.
  - GHSA-f65p-4m7j-42xcfast-uri vulnerable to server-side request forgery via malformed IPv6 normalization
  - GHSA-fph4-wmhf-6fwffast-uri vulnerable to server-side request forgery via repeated hostname percent-decoding
  - GHSA-5jgf-p345-68v8fast-uri vulnerable to host confusion via skipped IDN canonicalization on scheme-relative references
  - GHSA-7p8r-x3mc-p8w7fast-uri vulnerable to host confusion via backslash authority introducer
  - GHSA-jqff-g426-hqxpfast-uri vulnerable to host confusion via percent-encoded scheme normalization
  - GHSA-qw65-cvwx-89v3fast-uri vulnerable to authority injection via an unvalidated port in serialize
  - GHSA-333x-w4r6-6crpfast-uri vulnerable to scheme injection via an unescaped first-segment colon in suffix references
  - GHSA-hrr3-gc8f-f4qjfast-uri vulnerable to inconsistent host case normalization via percent-encoded octets
  - GHSA-w74x-v6f9-j3xgfast-uri vulnerable to URI scheme spoofing via percent-encoded scheme decoding
  - GHSA-wjr9-j795-jxcrfast-uri vulnerable to host confusion via unchecked WHATWG host canonicalization
  - GHSA-xhq7-xmqj-769hfast-uri vulnerable to improper path equivalence in relative reference normalization
حدّث @immich/uiقد يجعله أحدهم يتعطل أو يتجمد.
- immutable 5.1.62 ثغراتتم الإصلاح في 5.1.8
  قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
  - GHSA-v56q-mh7h-f735Immutable.js `List` 32-bit trie overflow → unrecoverable DoS
  - GHSA-xvcm-6775-5m9rImmutable: Hash-collision algorithmic complexity denial of service in Immutable.Map/Set
حدّث bcryptقد يجعله أحدهم يتعطل أو يتجمد.
- undici 8.11.23 ثغراتتم الإصلاح في 8.12.2
  قد يغيّر أحدهم بيانات أو ملفات. من أي مكان على الإنترنت، دون حساب.
  - GHSA-f72v-6w45-q472undici vulnerable to Subresource Integrity bypass via non-lowercase algorithm tokens
  - GHSA-xjj6-f33q-929cundici vulnerable to Denial of Service via unhandled error on excessive content-encodings
  - GHSA-4qv8-2p9j-2685undici vulnerable to Denial of Service via unbounded memory in the EventSource parser
حدّث body-parser إلى 2.4.0قد يجعله أحدهم يتعطل أو يتجمد.
- body-parser 2.3.01 ثغرةتم الإصلاح في 2.4.0
  قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
  - GHSA-27r3-jxmh-p828body-parser vulnerable to Denial of Service via trailing bytes after a compressed request body
حدّث immich-modelقد يجعله أحدهم يتعطل أو يتجمد.
- protobuf 6.33.21 ثغرةتم الإصلاح في 6.33.5
  قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
  - GHSA-7gcm-g887-7qv7protobuf affected by a JSON recursion depth bypass
حدّث multer إلى 2.5.0قد يجعله أحدهم يتعطل أو يتجمد.
- multer 2.4.01 ثغرةتم الإصلاح في 2.5.0
  قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
  - GHSA-q7qp-rjg7-q26mmulter vulnerable to Denial of Service via a pending asynchronous fileFilter after request teardown
حدّث socket.io-clientقد يجعله أحدهم يتعطل أو يتجمد.
- ws 8.20.11 ثغرةتم الإصلاح في 8.21.0
  قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
  - GHSA-96hv-2xvq-fx4pws: Memory exhaustion DoS from tiny fragments and data chunks
حدّث zod إلى 4.6.6قد يجعله أحدهم يتعطل أو يتجمد.
- zod 4.4.31 ثغرةتم الإصلاح في 4.6.6
  قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
  - GHSA-mrhx-c7xc-m3w5Zod can exhaust memory while validating oversized constrained collections

يمس مستخدميك

56 ثغرات فيما ينشره المشروع، الأخطر أولًا.

قد يكشف بيانات مستخدميك أو يتيح لأحدهم السيطرة

fsspec 2023.12.21 ثغرةتم الإصلاح في 2026.6.0قد يشغّل أحدهم شيفرته الخاصة حيث يعمل. من أي مكان على الإنترنت، دون حساب.
- GHSA-27vj-qcqg-25rcfsspec: Server-Side Template Injection in ReferenceFileSystem leads to Remote Code Execution
happy-dom 21.0.31 ثغرةتم الإصلاح في 21.0.4قد يشغّل أحدهم شيفرته الخاصة حيث يعمل. من أي مكان على الإنترنت، دون حساب.
- GHSA-834v-8h66-3h79Happy DOM: Incomplete fix for CVE-2026-33943: unsanitized import alias leads to host code execution
rubyzip 2.3.21 ثغرةتم الإصلاح في 3.4.0قد يقرأ أحدهم بيانات لا ينبغي أن يراها. من أي مكان على الإنترنت، دون حساب.
- GHSA-47m2-wp7j-p9vcrubyzip path traversal vulnerability
fast-uri 3.1.411 ثغراتتم الإصلاح في 3.1.9قد يقرأ أحدهم بيانات لا ينبغي أن يراها. من أي مكان على الإنترنت، دون حساب.
- GHSA-f65p-4m7j-42xcfast-uri vulnerable to server-side request forgery via malformed IPv6 normalization
- GHSA-fph4-wmhf-6fwffast-uri vulnerable to server-side request forgery via repeated hostname percent-decoding
- GHSA-5jgf-p345-68v8fast-uri vulnerable to host confusion via skipped IDN canonicalization on scheme-relative references
- GHSA-7p8r-x3mc-p8w7fast-uri vulnerable to host confusion via backslash authority introducer
- GHSA-jqff-g426-hqxpfast-uri vulnerable to host confusion via percent-encoded scheme normalization
- GHSA-qw65-cvwx-89v3fast-uri vulnerable to authority injection via an unvalidated port in serialize
- GHSA-333x-w4r6-6crpfast-uri vulnerable to scheme injection via an unescaped first-segment colon in suffix references
- GHSA-hrr3-gc8f-f4qjfast-uri vulnerable to inconsistent host case normalization via percent-encoded octets
- GHSA-w74x-v6f9-j3xgfast-uri vulnerable to URI scheme spoofing via percent-encoded scheme decoding
- GHSA-wjr9-j795-jxcrfast-uri vulnerable to host confusion via unchecked WHATWG host canonicalization
- GHSA-xhq7-xmqj-769hfast-uri vulnerable to improper path equivalence in relative reference normalization
urllib3 2.6.26 ثغراتتم الإصلاح في 2.8.0قد يقرأ أحدهم بيانات لا ينبغي أن يراها. من أي مكان على الإنترنت، دون حساب.
- GHSA-qccp-gfcp-xxvcurllib3: Sensitive headers forwarded across origins in proxied low-level redirects
- GHSA-38jv-5279-wg99Decompression-bomb safeguards bypassed when following HTTP redirects (streaming API)
- GHSA-mf9v-mfxr-j63jurllib3: Decompression-bomb safeguards bypassed in parts of the streaming API
- GHSA-vxq7-64xx-v4gwurllib3: HTTPResponse.stream()/read_chunked() buffers an unbounded chunk-size line into memory
- GHSA-gh4c-6fx4-qh6gurllib3: Chunked Deflate streaming can enter an infinite loop
- GHSA-8988-9cw3-xx77urllib3: HTTPS proxy TLS configuration may be ignored or overridden

faraday 1.10.32 ثغراتتم الإصلاح في 1.10.6قد يقرأ أحدهم بيانات لا ينبغي أن يراها. من أي مكان على الإنترنت، دون حساب.
- GHSA-33mh-2634-fwr2Faraday affected by SSRF via protocol-relative URL host override in build_exclusive_url
- GHSA-98m9-hrrm-r99rFaraday: Uncontrolled recursion in NestedParamsEncoder allows stack exhaustion DoS via deeply nested query parameters
excon 0.110.01 ثغرةتم الإصلاح في 1.5.0قد يقرأ أحدهم بيانات لا ينبغي أن يراها. من أي مكان على الإنترنت، دون حساب.
- GHSA-48rx-c7pg-q66rExcon does not redact additional sensitive/risky headers when following redirects
esbuild 0.19.121 ثغرةتم الإصلاح في 0.25.0قد يقرأ أحدهم بيانات لا ينبغي أن يراها. من أي مكان على الإنترنت، دون حساب.
- GHSA-67mh-4wv8-2f99esbuild enables any website to send any requests to the development server and read the response
jwt 2.8.11 ثغرةتم الإصلاح في 2.10.3قد ينتحل أحدهم صفة مستخدم آخر. من أي مكان على الإنترنت، دون حساب.
- GHSA-c32j-vqhx-rx3xruby-jwt: Empty-key HMAC bypass; cross-language sibling of CVE-2026-44351
undici 8.11.23 ثغراتتم الإصلاح في 8.12.2قد يغيّر أحدهم بيانات أو ملفات. من أي مكان على الإنترنت، دون حساب.
- GHSA-f72v-6w45-q472undici vulnerable to Subresource Integrity bypass via non-lowercase algorithm tokens
- GHSA-xjj6-f33q-929cundici vulnerable to Denial of Service via unhandled error on excessive content-encodings
- GHSA-4qv8-2p9j-2685undici vulnerable to Denial of Service via unbounded memory in the EventSource parser
@sveltejs/kit 2.70.32 ثغراتتم الإصلاح في 3.0.0قد يهاجم أحدهم الأشخاص الذين يستخدمونه. من أي مكان على الإنترنت، دون حساب.
- GHSA-pfhg-q3qv-9q6rSvelteKit: URL redirection to untrusted site via enhanced form submission
- GHSA-27mw-82g8-phjjSvelteKit : XSS via untrusted cache-control header in prerendered page
aws-sdk-s3 1.151.01 ثغرةتم الإصلاح في 1.208.0إحدى الحمايات أضعف مما ينبغي. بحساب فقط.
- GHSA-2xgq-q749-89fqAWS SDK for Ruby's S3 Encryption Client has a Key Commitment Issue

قد يعطّل خدمتك أو يبطئها

starlette 0.50.05 ثغراتتم الإصلاح في 1.3.1المهاجمون يستخدمونها الآنثغرة لم يُوضَّح أثرها. من أي مكان على الإنترنت، دون حساب.
- GHSA-86qp-5c8j-p5mrStarlette has missing Host header validation that poisons request.url.path, bypassing path-based security checks
- GHSA-wqp7-x3pw-xc5rStarlette: SSRF and NTLM credential theft via UNC paths in StaticFiles on Windows
- GHSA-82w8-qh3p-5jfqStarlette: request.form() limits silently ignored for application/x-www-form-urlencoded enable DoS
- GHSA-x746-7m8f-x49cStarlette: Arbitrary HTTP method dispatched to `HTTPEndpoint` attributes via `getattr`
- GHSA-jp82-jpqv-5vv3Starlette: Unvalidated request path concatenated into authority poisons request.url.hostname
anyio 4.2.02 ثغراتتم الإصلاح في 4.14.2قد يجعله أحدهم يتعطل أو يتجمد. بالوصول إلى الجهاز فقط.
- GHSA-5p39-cfhj-2xmpAnyIO process-pool workers can block indefinitely on undrained stderr
- GHSA-82r6-8w77-94w6AnyIO: TLSStream IDNA 2003 host name encoding enables potential TLS certificate spoofing
body-parser 2.3.01 ثغرةتم الإصلاح في 2.4.0قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-27r3-jxmh-p828body-parser vulnerable to Denial of Service via trailing bytes after a compressed request body
protobuf 6.33.21 ثغرةتم الإصلاح في 6.33.5قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-7gcm-g887-7qv7protobuf affected by a JSON recursion depth bypass
ws 8.20.11 ثغرةتم الإصلاح في 8.21.0قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-96hv-2xvq-fx4pws: Memory exhaustion DoS from tiny fragments and data chunks

addressable 2.8.61 ثغرةتم الإصلاح في 2.9.0قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-h27x-rffw-24p4Addressable has a Regular Expression Denial of Service in Addressable templates
zod 4.4.31 ثغرةتم الإصلاح في 4.6.6قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-mrhx-c7xc-m3w5Zod can exhaust memory while validating oversized constrained collections
multer 2.4.01 ثغرةتم الإصلاح في 2.5.0قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-q7qp-rjg7-q26mmulter vulnerable to Denial of Service via a pending asynchronous fileFilter after request teardown
immutable 5.1.62 ثغراتتم الإصلاح في 5.1.8قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-v56q-mh7h-f735Immutable.js `List` 32-bit trie overflow → unrecoverable DoS
- GHSA-xvcm-6775-5m9rImmutable: Hash-collision algorithmic complexity denial of service in Immutable.Map/Set
rexml 3.2.85 ثغراتتم الإصلاح في 3.3.9قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-vmwr-mc7x-5vc3REXML denial of service vulnerability
- GHSA-2rxp-v6pw-ch6mREXML ReDoS vulnerability
- GHSA-4xqq-m2hx-25v8REXML denial of service vulnerability
- GHSA-5866-49gr-22v4REXML DoS vulnerability
- GHSA-r55c-59qm-vjw6REXML DoS vulnerability
idna 3.111 ثغرةتم الإصلاح في 3.15قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-65pc-fj4g-8rjxInternationalized Domain Names in Applications (IDNA): Specially crafted inputs to idna.encode() can bypass CVE-2024-3651 fix
postcss-selector-parser 6.1.41 ثغرةتم الإصلاح في 7.1.6قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-rj75-hqrm-r3gfPostCSS: Quadratic complexity in flat selector parsing allows CPU exhaustion
filelock 3.20.11 ثغرةتم الإصلاح في 3.20.3قد يجعله أحدهم يتعطل أو يتجمد. بالوصول إلى الجهاز فقط.
- GHSA-qmgc-5h2g-mvrwfilelock Time-of-Check-Time-of-Use (TOCTOU) Symlink Vulnerability in SoftFileLock
pygments 2.17.21 ثغرةتم الإصلاح في 2.20.0قد يجعله أحدهم يتعطل أو يتجمد. بالوصول إلى الجهاز فقط.
- GHSA-5239-wwwm-4pmqPygments has Regular Expression Denial of Service (ReDoS) due to Inefficient Regex for GUID Matching
cookie 0.6.01 ثغرةتم الإصلاح في 0.7.0ثغرة لم يُوضَّح أثرها.
- GHSA-pxg6-pf52-xh8xcookie accepts cookie name, path, and domain with out of bounds characters

داخلي فقط

أدوات التطوير والاختبارات والأمثلة والوثائق ومقاييس الأداء: لا تصل إلى مستخدميك، لذا لا تُحتسب أبدًا في الإجابة.

tinypool 1.1.12 ثغراتتم الإصلاح في 2.1.2قد يشغّل أحدهم شيفرته الخاصة حيث يعمل. من أي مكان على الإنترنت، دون حساب.
- GHSA-85c8-ppgw-ccprTinypool: Prototype Pollution Gadget to RCE in run() options
- GHSA-5gmw-xhrv-c9v3Tinypool: Prototype Pollution gadget in worker options leads to Remote Code Execution
brotli 1.1.02 ثغراتتم الإصلاح في 1.2.1قد يشغّل أحدهم شيفرته الخاصة حيث يعمل. من أي مكان على الإنترنت، دون حساب.
- GHSA-9v8h-qqgm-4m35Brotli: Out-of-bounds write in the Brotli decoder ("Node2Shell") also affects the PyPI Brotli package
- GHSA-2qfp-q593-8484Scrapy is vulnerable to a denial of service (DoS) attack due to flaws in brotli decompression implementation
shell-quote 1.10.01 ثغرةتم الإصلاح في 1.11.0قد يشغّل أحدهم شيفرته الخاصة حيث يعمل. من أي مكان على الإنترنت، دون حساب.
- GHSA-pqg4-j6r4-53mvshell-quote: `quote()` command injection via a line terminator in a token after a `{ comment }` token
tar 6.2.112 ثغراتتم الإصلاح في 7.5.21قد يقرأ أحدهم بيانات لا ينبغي أن يراها. من أي مكان على الإنترنت، دون حساب.
- GHSA-34x7-hfp2-rc4vnode-tar Vulnerable to Arbitrary File Creation/Overwrite via Hardlink Path Traversal
- GHSA-83g3-92jg-28cxArbitrary File Read/Write via Hardlink Target Escape Through Symlink Chain in node-tar Extraction
- GHSA-8qq5-rm4j-mr97node-tar is Vulnerable to Arbitrary File Overwrite and Symlink Poisoning via Insufficient Path Sanitization
- GHSA-9ppj-qmqm-q256node-tar Symlink Path Traversal via Drive-Relative Linkpath
- GHSA-qffp-2rhf-9h96tar has Hardlink Path Traversal via Drive-Relative Linkpath
- GHSA-r6q2-hw4h-h46wRace Condition in node-tar Path Reservations via Unicode Ligature Collisions on macOS APFS
- GHSA-vmf3-w455-68vhnode-tar applies PAX size override to intermediary GNU long-name/long-link headers, causing tar parser interpretation differential (file smuggling)
- GHSA-23hp-3jrh-7fpwnode-tar: Decompression/parse DoS via unlimited input
- GHSA-8x88-c5mf-7j5wnode-tar: Negative tar entry size causes infinite loop in archive replace
- GHSA-r292-9mhp-454mnode-tar: Uncontrolled recursion in mapHas/filesFilter allows uncatchable stack-overflow DoS via crafted long-path tar with member selection
- GHSA-gvwx-54wh-qm9jnode-tar: Uncaught Exception DoS via NUL byte in PAX path/linkpath records
- GHSA-w8wr-v893-vjvpnode-tar: Process crash via PAX numeric path type confusion
dompurify 3.4.125 ثغراتتم الإصلاح في 3.4.17قد يهاجم أحدهم الأشخاص الذين يستخدمونه. من أي مكان على الإنترنت، دون حساب.
- GHSA-cg2g-xh64-v4q7DOMPurify SAFE_FOR_TEMPLATES bypass: split template expressions survive in attached shadow root content on DOM output modes
- GHSA-mrv2-3pqr-j5jrDOMPurify IN_PLACE: hook that removes a parent or sibling leaves the detached subtree's event handlers armed (incomplete fix for GHSA-p98j-92pf-mc4p)
- GHSA-55q2-fjhq-7xh7DOMPurify: IN_PLACE hook removal leaves a detached subtree executable, causing XSS
- GHSA-6688-9rhm-gjv2DOMPurify: IN_PLACE returns a force-removed rawtext root whose text carries attacker markup — pure HTML reparse executes
- GHSA-c6gr-qvv4-5v3fDOMPurify: SMIL attributeName=href guard is skipped when PARSER_MEDIA_TYPE is application/xhtml+xml
launch-editor 2.14.13 ثغراتتم الإصلاح في 2.14.2قد يشغّل أحدهم شيفرته الخاصة حيث يعمل. من أي مكان على الإنترنت، دون حساب.
- GHSA-587h-7wmj-h5pmlaunch-editor: `fs.existsSync()` existence check can be bypassed on Windows
- GHSA-698v-4r3x-3vcvlaunch-editor: escapeCmdArgs() omits % escaping on Windows
- GHSA-r825-w8mm-5pxwlaunch-editor: Editor CLI flag misinterpretation causing arbitrary command execution for some editors
serialize-javascript 6.0.23 ثغراتتم الإصلاح في 7.1.3قد يشغّل أحدهم شيفرته الخاصة حيث يعمل. من أي مكان على الإنترنت، دون حساب.
- GHSA-5c6j-r48x-rmvqSerialize JavaScript is Vulnerable to RCE via RegExp.flags and Date.prototype.toISOString()
- GHSA-m5mm-p8h7-m29vSerialize JavaScript: Cross-site scripting (XSS) via unescaped </script at the end of a serialized function body
- GHSA-qj8w-gfj5-8c6vSerialize JavaScript has CPU Exhaustion Denial of Service via crafted array-like objects
mermaid 11.16.05 ثغراتتم الإصلاح في 11.16.1قد يشغّل أحدهم شيفرته الخاصة حيث يعمل. من أي مكان على الإنترنت، دون حساب.
- GHSA-6x64-9x62-f2gxMermaid allows CSS injection applying to sibling elements of the diagram
- GHSA-3rrr-jr9j-h3q3Mermaid Architecture diagrams are vulnerable to prototype pollution
- GHSA-c4c3-pg64-4m4vMermaid configuration APIs allow prototype pollution
- GHSA-2v8p-3f2j-5mp7Mermaid XY Charts are vulnerable to an infinite loop DoS
- GHSA-rhh3-jpg6-66xhMermaid radar diagrams are vulnerable to DoS
jinja2 3.1.43 ثغراتتم الإصلاح في 3.1.6قد يشغّل أحدهم شيفرته الخاصة حيث يعمل. بالوصول إلى الجهاز فقط.
- GHSA-cpwx-vrp4-4pq7Jinja2 vulnerable to sandbox breakout through attr filter selecting format method
- GHSA-gmj6-6f8f-6699Jinja has a sandbox breakout through malicious filenames
- GHSA-q2x7-8rv6-6q7hJinja has a sandbox breakout through indirect reference to format method
follow-redirects 1.16.02 ثغراتتم الإصلاح في 1.16.1قد يقرأ أحدهم بيانات لا ينبغي أن يراها. من أي مكان على الإنترنت، دون حساب.
- GHSA-8r9p-f939-6h3cfollow-redirects sensitiveHeaders regex escaping can expose credential headers
- GHSA-q3jh-wrc6-jgq8follow-redirects array-form headers bypass cross-origin credential stripping
http-cache-semantics 4.2.01 ثغرةقد يقرأ أحدهم بيانات لا ينبغي أن يراها. من أي مكان على الإنترنت، دون حساب.
- GHSA-ch52-4w7c-c8xphttp-cache-semantics max-stale handling can disclose cross-user cached responses
webpack-dev-middleware 7.4.51 ثغرةتم الإصلاح في 7.4.6قد يقرأ أحدهم بيانات لا ينبغي أن يراها. من أي مكان على الإنترنت، دون حساب.
- GHSA-g84c-rxfj-3j2cwebpack-dev-middleware vulnerable to Path Traversal via non-slash-terminated publicPath
wheel 0.45.11 ثغرةتم الإصلاح في 0.46.2قد يقرأ أحدهم بيانات لا ينبغي أن يراها. بالوصول إلى الجهاز فقط.
- GHSA-8rrh-rw8j-w5fxWheel Affected by Arbitrary File Permission Modification via Path Traversal in wheel unpack
flask-cors 4.0.14 ثغراتتم الإصلاح في 6.0.0قد يقرأ أحدهم بيانات لا ينبغي أن يراها. من أي مكان على الإنترنت، دون حساب.
- GHSA-43qf-4rqw-9q2gFlask-CORS vulnerable to Improper Handling of Case Sensitivity
- GHSA-hxwh-jpp2-84pmFlask-CORS allows the `Access-Control-Allow-Private-Network` CORS header to be set to true by default
- GHSA-7rxf-gvfg-47g4Flask-CORS improper regex path matching vulnerability
- GHSA-8vgw-p6qm-5gr7Flask-CORS allows for inconsistent CORS matching
werkzeug 3.0.36 ثغراتتم الإصلاح في 3.1.9قد يقرأ أحدهم بيانات لا ينبغي أن يراها. من أي مكان على الإنترنت، دون حساب.
- GHSA-f9vj-2wh5-fj8jWerkzeug safe_join not safe on Windows
- GHSA-q34m-jh98-gwm2Werkzeug possible resource exhaustion when parsing file data in forms
- GHSA-29vq-49wr-vm6x Werkzeug safe_join() allows Windows special device names
- GHSA-87hc-h4r5-73f7 Werkzeug safe_join() allows Windows special device names with compound extensions
- GHSA-g6x2-hccm-hh4mWerkzeug safe_join() allows Windows special device names
- GHSA-hgf8-39gv-g3f2Werkzeug safe_join() allows Windows special device names
setuptools 80.9.02 ثغراتتم الإصلاح في 84.1.0قد يقرأ أحدهم بيانات لا ينبغي أن يراها. بالوصول إلى الجهاز فقط.
- GHSA-h35f-9h28-mq5csetuptools: MANIFEST.in exclusion bypass in sdist via Unicode normalization collision (NFC/NFD) on macOS APFS/HFS+
- GHSA-xmj3-9gf7-h52wsetuptools: Windows path escape via namespace_packages.txt during legacy wheel installation Description
joi 17.13.44 ثغراتتم الإصلاح في 17.13.8قد يغيّر أحدهم بيانات أو ملفات. من أي مكان على الإنترنت، دون حساب.
- GHSA-wr44-6hxh-3jwqjoi messages compilation allows prototype replacement through __proto__ error codes
- GHSA-6w3j-5fw6-r9vrjoi: Prototype pollution via a `__proto__` language key in custom messages
- GHSA-gg4h-3hg2-grpcjoi: object().rename() with a template target can set the validated object's prototype
- GHSA-6h2x-m376-mqjqjoi: Quadratic regular-expression backtracking in `Joi.string().isoDate()`
katex 0.16.471 ثغرةتم الإصلاح في 0.18.2قد يغيّر أحدهم بيانات أو ملفات. من أي مكان على الإنترنت، دون حساب.
- GHSA-238p-pmpm-9mq7KaTeX: Existing prototype pollution can bypass trust restrictions
svgo 3.3.42 ثغراتتم الإصلاح في 3.3.5قد يهاجم أحدهم الأشخاص الذين يستخدمونه. من أي مكان على الإنترنت، دون حساب.
- GHSA-w27v-7q3p-w38rSVGO: removeScripts allows executable links through namespace and control-character bypasses
- GHSA-4vpr-x523-8j87SVGO: removeScripts incompletely sanitizes executable HTML in SVG foreignObject elements
body-parser 1.20.61 ثغرةتم الإصلاح في 1.20.9قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-27r3-jxmh-p828body-parser vulnerable to Denial of Service via trailing bytes after a compressed request body
brace-expansion 1.1.156 ثغراتتم الإصلاح في 1.1.21قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-3jxr-9vmj-r5cpbrace-expansion: DoS via exponential-time expansion of consecutive non-expanding {} groups
- GHSA-6j4f-fj2g-mc7pbrace-expansion: DoS via uncontrolled recursion in parseCommaParts causing stack exhaustion
- GHSA-mh99-v99m-4gvgbrace-expansion: DoS via unbounded expansion length causing an out-of-memory process crash
- GHSA-qhr7-859c-m2p7brace-expansion: DoS via uncontrolled recursion on nested brace groups causing stack exhaustion
- GHSA-rgw5-rvv9-x895brace-expansion: DoS via unbounded intermediate arrays, bypassing the CVE-2026-14257 mitigation
- GHSA-q2hr-2g5m-vwhrbrace-expansion: Quadratic-time expansion of the `{a},b}` rewrite causes CPU denial of service
image-size 2.0.22 ثغراتتم الإصلاح في 2.0.3قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-5p2g-fcmc-qvqqimage-size: JXL and HEIF parsers allow denial of service through infinite loops
- GHSA-w3rx-r6r6-pgprimage-size: ICNS parser allows denial of service through an infinite loop
python-socketio 5.16.01 ثغرةتم الإصلاح في 5.16.2قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-5w7q-77mv-v69fpython-socketio: Binary attachment accumulation can cause denial of service
msgpack 1.1.21 ثغرةتم الإصلاح في 1.2.1قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-6v7p-g79w-8964MessagePack for Python: Out-of-bounds read / crash on Unpacker reuse after a caught error
python-engineio 4.12.22 ثغراتتم الإصلاح في 4.13.2قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-cgwc-pv48-fhj5python-engineio has unbound thread allocation that can cause denial of service
- GHSA-m9gh-vj53-gvh9python-engineio has possible denial of service due to maximum payload size sometimes not being enforced
colord 2.9.31 ثغرةتم الإصلاح في 2.9.4قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-2wm5-q62r-hmrvColord: Slow rejection of oversized malformed color strings
qs 6.15.32 ثغراتتم الإصلاح في 6.16.0قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-4mjr-xmp4-gh2gqs: Denial of Service via Attacker Controlled isBuffer
- GHSA-x5fp-wj9c-mxmxqs array-limit bypass via bracket-key comma parsing
postcss-selector-parser 7.1.51 ثغرةتم الإصلاح في 7.1.6قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-rj75-hqrm-r3gfPostCSS: Quadratic complexity in flat selector parsing allows CPU exhaustion
uuid 8.3.21 ثغرةتم الإصلاح في 11.1.1ثغرة لم يُوضَّح أثرها. من أي مكان على الإنترنت، دون حساب.
- GHSA-w5hq-g745-h8pquuid: Missing buffer bounds check in v3/v5/v6 when buf is provided
flask 3.0.01 ثغرةتم الإصلاح في 3.1.3ثغرة لم يُوضَّح أثرها. من أي مكان على الإنترنت، دون حساب.
- GHSA-68rp-wp8r-4726Flask session does not add `Vary: Cookie` header when accessed in some ways

راسلني بالبريد عندما يتغيّر هذا

رسالة واحدة للتأكيد، ثم رسالة فقط عندما تسوء الإجابة أو تظهر ثغرة خطيرة جديدة: رسالة واحدة في اليوم على الأكثر، وفورًا إن كان المهاجمون يستخدمونها. نقرة واحدة لإلغاء الاشتراك.

ضع الشارة في README الخاص بك

تعرض هذه الإجابة وتتغير معها.

[![هل immich-app/immich بخير؟](https://istheinternetok.com/r/immich-app/immich/badge.svg)](https://istheinternetok.com/r/immich-app/immich/)

تمت القراءة من machine-learning/uv.lock, mobile/android/Gemfile.lock, mobile/ios/Runner.xcodeproj/project.xcworkspace/xcshareddata/swiftpm/Package.resolved, mobile/ios/Runner.xcworkspace/xcshareddata/swiftpm/Package.resolved, mobile/packages/ui/pubspec.lock, mobile/pubspec.lock, native/Cargo.lock, pnpm-lock.yaml, mobile/android/gradle/libs.versions.toml.