Ist immich-app/immich in Ordnung?

Nein.

Eine Lücke, die Angreifer gerade nutzen.

Intern: 79 Lücken in Tests und Werkzeugen, keine erreicht deine Nutzer.

Geprüft 17:05 UTCCommit 256eb55Warnungen, Stand 16:51 UTC

mobile/ios/Podfile.lock konnten wir nicht lesen: Diese Antwort gilt nur für den Rest des Repos.

Kein Lockfile für mobile/android/gradle/libs.versions.toml: Geprüft wurden nur die dort angegebenen Versionen, nicht die Pakete, die sie mitbringen.

Auf X posten

13 Sachen zu aktualisieren

Aktualisiere fastapiAngreifer nutzen sie geradeJemand könnte Daten lesen, die er nicht sehen dürfte.
- starlette 0.50.05 Lückenbehoben in 1.3.1Angreifer nutzen sie gerade
  Eine Lücke, deren Folgen nicht genannt werden. Von überall im Internet, ohne Konto.
  - GHSA-86qp-5c8j-p5mrStarlette has missing Host header validation that poisons request.url.path, bypassing path-based security checks
  - GHSA-wqp7-x3pw-xc5rStarlette: SSRF and NTLM credential theft via UNC paths in StaticFiles on Windows
  - GHSA-82w8-qh3p-5jfqStarlette: request.form() limits silently ignored for application/x-www-form-urlencoded enable DoS
  - GHSA-x746-7m8f-x49cStarlette: Arbitrary HTTP method dispatched to `HTTPEndpoint` attributes via `getattr`
  - GHSA-jp82-jpqv-5vv3Starlette: Unvalidated request path concatenated into authority poisons request.url.hostname
- anyio 4.2.02 Lückenbehoben in 4.14.2
  Jemand könnte es zum Absturz bringen oder einfrieren lassen. Nur mit Zugang zum Rechner.
  - GHSA-5p39-cfhj-2xmpAnyIO process-pool workers can block indefinitely on undrained stderr
  - GHSA-82r6-8w77-94w6AnyIO: TLSStream IDNA 2003 host name encoding enables potential TLS certificate spoofing
Aktualisiere happy-dom auf 21.0.4Jemand könnte dort, wo es läuft, eigenen Code ausführen.
- happy-dom 21.0.31 Lückebehoben in 21.0.4
  Jemand könnte dort, wo es läuft, eigenen Code ausführen. Von überall im Internet, ohne Konto.
  - GHSA-834v-8h66-3h79Happy DOM: Incomplete fix for CVE-2026-33943: unsanitized import alias leads to host code execution
Aktualisiere huggingface-hubJemand könnte dort, wo es läuft, eigenen Code ausführen.
- fsspec 2023.12.21 Lückebehoben in 2026.6.0
  Jemand könnte dort, wo es läuft, eigenen Code ausführen. Von überall im Internet, ohne Konto.
  - GHSA-27vj-qcqg-25rcfsspec: Server-Side Template Injection in ReferenceFileSystem leads to Remote Code Execution

Aktualisiere fastlaneJemand könnte Daten lesen, die er nicht sehen dürfte.
- rubyzip 2.3.21 Lückebehoben in 3.4.0
  Jemand könnte Daten lesen, die er nicht sehen dürfte. Von überall im Internet, ohne Konto.
  - GHSA-47m2-wp7j-p9vcrubyzip path traversal vulnerability
- faraday 1.10.32 Lückenbehoben in 1.10.6
  Jemand könnte Daten lesen, die er nicht sehen dürfte. Von überall im Internet, ohne Konto.
  - GHSA-33mh-2634-fwr2Faraday affected by SSRF via protocol-relative URL host override in build_exclusive_url
  - GHSA-98m9-hrrm-r99rFaraday: Uncontrolled recursion in NestedParamsEncoder allows stack exhaustion DoS via deeply nested query parameters
- 3 weitere zeigen
  - jwt 2.8.11 Lückebehoben in 2.10.3
    Jemand könnte sich als ein anderer Nutzer ausgeben. Von überall im Internet, ohne Konto.
    GHSA-c32j-vqhx-rx3xruby-jwt: Empty-key HMAC bypass; cross-language sibling of CVE-2026-44351
  - addressable 2.8.61 Lückebehoben in 2.9.0
    Jemand könnte es zum Absturz bringen oder einfrieren lassen. Von überall im Internet, ohne Konto.
    GHSA-h27x-rffw-24p4Addressable has a Regular Expression Denial of Service in Addressable templates
  - rexml 3.2.85 Lückenbehoben in 3.3.9
    Jemand könnte es zum Absturz bringen oder einfrieren lassen. Von überall im Internet, ohne Konto.
    GHSA-vmwr-mc7x-5vc3REXML denial of service vulnerability
    GHSA-2rxp-v6pw-ch6mREXML ReDoS vulnerability
    GHSA-4xqq-m2hx-25v8REXML denial of service vulnerability
    GHSA-5866-49gr-22v4REXML DoS vulnerability
    GHSA-r55c-59qm-vjw6REXML DoS vulnerability
Aktualisiere rapidocrJemand könnte Daten lesen, die er nicht sehen dürfte.
- urllib3 2.6.26 Lückenbehoben in 2.8.0
  Jemand könnte Daten lesen, die er nicht sehen dürfte. Von überall im Internet, ohne Konto.
  - GHSA-qccp-gfcp-xxvcurllib3: Sensitive headers forwarded across origins in proxied low-level redirects
  - GHSA-38jv-5279-wg99Decompression-bomb safeguards bypassed when following HTTP redirects (streaming API)
  - GHSA-mf9v-mfxr-j63jurllib3: Decompression-bomb safeguards bypassed in parts of the streaming API
  - GHSA-vxq7-64xx-v4gwurllib3: HTTPResponse.stream()/read_chunked() buffers an unbounded chunk-size line into memory
  - GHSA-gh4c-6fx4-qh6gurllib3: Chunked Deflate streaming can enter an infinite loop
  - GHSA-8988-9cw3-xx77urllib3: HTTPS proxy TLS configuration may be ignored or overridden
Aktualisiere react-emailJemand könnte Daten lesen, die er nicht sehen dürfte.
- fast-uri 3.1.411 Lückenbehoben in 3.1.9
  Jemand könnte Daten lesen, die er nicht sehen dürfte. Von überall im Internet, ohne Konto.
  - GHSA-f65p-4m7j-42xcfast-uri vulnerable to server-side request forgery via malformed IPv6 normalization
  - GHSA-fph4-wmhf-6fwffast-uri vulnerable to server-side request forgery via repeated hostname percent-decoding
  - GHSA-5jgf-p345-68v8fast-uri vulnerable to host confusion via skipped IDN canonicalization on scheme-relative references
  - GHSA-7p8r-x3mc-p8w7fast-uri vulnerable to host confusion via backslash authority introducer
  - GHSA-jqff-g426-hqxpfast-uri vulnerable to host confusion via percent-encoded scheme normalization
  - GHSA-qw65-cvwx-89v3fast-uri vulnerable to authority injection via an unvalidated port in serialize
  - GHSA-333x-w4r6-6crpfast-uri vulnerable to scheme injection via an unescaped first-segment colon in suffix references
  - GHSA-hrr3-gc8f-f4qjfast-uri vulnerable to inconsistent host case normalization via percent-encoded octets
  - GHSA-w74x-v6f9-j3xgfast-uri vulnerable to URI scheme spoofing via percent-encoded scheme decoding
  - GHSA-wjr9-j795-jxcrfast-uri vulnerable to host confusion via unchecked WHATWG host canonicalization
  - GHSA-xhq7-xmqj-769hfast-uri vulnerable to improper path equivalence in relative reference normalization
Aktualisiere @immich/uiJemand könnte es zum Absturz bringen oder einfrieren lassen.
- immutable 5.1.62 Lückenbehoben in 5.1.8
  Jemand könnte es zum Absturz bringen oder einfrieren lassen. Von überall im Internet, ohne Konto.
  - GHSA-v56q-mh7h-f735Immutable.js `List` 32-bit trie overflow → unrecoverable DoS
  - GHSA-xvcm-6775-5m9rImmutable: Hash-collision algorithmic complexity denial of service in Immutable.Map/Set
Aktualisiere bcryptJemand könnte es zum Absturz bringen oder einfrieren lassen.
- undici 8.11.23 Lückenbehoben in 8.12.2
  Jemand könnte Daten oder Dateien verändern. Von überall im Internet, ohne Konto.
  - GHSA-f72v-6w45-q472undici vulnerable to Subresource Integrity bypass via non-lowercase algorithm tokens
  - GHSA-xjj6-f33q-929cundici vulnerable to Denial of Service via unhandled error on excessive content-encodings
  - GHSA-4qv8-2p9j-2685undici vulnerable to Denial of Service via unbounded memory in the EventSource parser
Aktualisiere body-parser auf 2.4.0Jemand könnte es zum Absturz bringen oder einfrieren lassen.
- body-parser 2.3.01 Lückebehoben in 2.4.0
  Jemand könnte es zum Absturz bringen oder einfrieren lassen. Von überall im Internet, ohne Konto.
  - GHSA-27r3-jxmh-p828body-parser vulnerable to Denial of Service via trailing bytes after a compressed request body
Aktualisiere immich-modelJemand könnte es zum Absturz bringen oder einfrieren lassen.
- protobuf 6.33.21 Lückebehoben in 6.33.5
  Jemand könnte es zum Absturz bringen oder einfrieren lassen. Von überall im Internet, ohne Konto.
  - GHSA-7gcm-g887-7qv7protobuf affected by a JSON recursion depth bypass
Aktualisiere multer auf 2.5.0Jemand könnte es zum Absturz bringen oder einfrieren lassen.
- multer 2.4.01 Lückebehoben in 2.5.0
  Jemand könnte es zum Absturz bringen oder einfrieren lassen. Von überall im Internet, ohne Konto.
  - GHSA-q7qp-rjg7-q26mmulter vulnerable to Denial of Service via a pending asynchronous fileFilter after request teardown
Aktualisiere socket.io-clientJemand könnte es zum Absturz bringen oder einfrieren lassen.
- ws 8.20.11 Lückebehoben in 8.21.0
  Jemand könnte es zum Absturz bringen oder einfrieren lassen. Von überall im Internet, ohne Konto.
  - GHSA-96hv-2xvq-fx4pws: Memory exhaustion DoS from tiny fragments and data chunks
Aktualisiere zod auf 4.6.6Jemand könnte es zum Absturz bringen oder einfrieren lassen.
- zod 4.4.31 Lückebehoben in 4.6.6
  Jemand könnte es zum Absturz bringen oder einfrieren lassen. Von überall im Internet, ohne Konto.
  - GHSA-mrhx-c7xc-m3w5Zod can exhaust memory while validating oversized constrained collections

Betrifft deine Nutzer

56 Lücken in dem, was das Projekt ausliefert, die ernstesten zuerst.

Kann Daten deiner Nutzer preisgeben oder eine Übernahme erlauben

fsspec 2023.12.21 Lückebehoben in 2026.6.0Jemand könnte dort, wo es läuft, eigenen Code ausführen. Von überall im Internet, ohne Konto.
- GHSA-27vj-qcqg-25rcfsspec: Server-Side Template Injection in ReferenceFileSystem leads to Remote Code Execution
happy-dom 21.0.31 Lückebehoben in 21.0.4Jemand könnte dort, wo es läuft, eigenen Code ausführen. Von überall im Internet, ohne Konto.
- GHSA-834v-8h66-3h79Happy DOM: Incomplete fix for CVE-2026-33943: unsanitized import alias leads to host code execution
rubyzip 2.3.21 Lückebehoben in 3.4.0Jemand könnte Daten lesen, die er nicht sehen dürfte. Von überall im Internet, ohne Konto.
- GHSA-47m2-wp7j-p9vcrubyzip path traversal vulnerability
fast-uri 3.1.411 Lückenbehoben in 3.1.9Jemand könnte Daten lesen, die er nicht sehen dürfte. Von überall im Internet, ohne Konto.
- GHSA-f65p-4m7j-42xcfast-uri vulnerable to server-side request forgery via malformed IPv6 normalization
- GHSA-fph4-wmhf-6fwffast-uri vulnerable to server-side request forgery via repeated hostname percent-decoding
- GHSA-5jgf-p345-68v8fast-uri vulnerable to host confusion via skipped IDN canonicalization on scheme-relative references
- GHSA-7p8r-x3mc-p8w7fast-uri vulnerable to host confusion via backslash authority introducer
- GHSA-jqff-g426-hqxpfast-uri vulnerable to host confusion via percent-encoded scheme normalization
- GHSA-qw65-cvwx-89v3fast-uri vulnerable to authority injection via an unvalidated port in serialize
- GHSA-333x-w4r6-6crpfast-uri vulnerable to scheme injection via an unescaped first-segment colon in suffix references
- GHSA-hrr3-gc8f-f4qjfast-uri vulnerable to inconsistent host case normalization via percent-encoded octets
- GHSA-w74x-v6f9-j3xgfast-uri vulnerable to URI scheme spoofing via percent-encoded scheme decoding
- GHSA-wjr9-j795-jxcrfast-uri vulnerable to host confusion via unchecked WHATWG host canonicalization
- GHSA-xhq7-xmqj-769hfast-uri vulnerable to improper path equivalence in relative reference normalization
urllib3 2.6.26 Lückenbehoben in 2.8.0Jemand könnte Daten lesen, die er nicht sehen dürfte. Von überall im Internet, ohne Konto.
- GHSA-qccp-gfcp-xxvcurllib3: Sensitive headers forwarded across origins in proxied low-level redirects
- GHSA-38jv-5279-wg99Decompression-bomb safeguards bypassed when following HTTP redirects (streaming API)
- GHSA-mf9v-mfxr-j63jurllib3: Decompression-bomb safeguards bypassed in parts of the streaming API
- GHSA-vxq7-64xx-v4gwurllib3: HTTPResponse.stream()/read_chunked() buffers an unbounded chunk-size line into memory
- GHSA-gh4c-6fx4-qh6gurllib3: Chunked Deflate streaming can enter an infinite loop
- GHSA-8988-9cw3-xx77urllib3: HTTPS proxy TLS configuration may be ignored or overridden

faraday 1.10.32 Lückenbehoben in 1.10.6Jemand könnte Daten lesen, die er nicht sehen dürfte. Von überall im Internet, ohne Konto.
- GHSA-33mh-2634-fwr2Faraday affected by SSRF via protocol-relative URL host override in build_exclusive_url
- GHSA-98m9-hrrm-r99rFaraday: Uncontrolled recursion in NestedParamsEncoder allows stack exhaustion DoS via deeply nested query parameters
excon 0.110.01 Lückebehoben in 1.5.0Jemand könnte Daten lesen, die er nicht sehen dürfte. Von überall im Internet, ohne Konto.
- GHSA-48rx-c7pg-q66rExcon does not redact additional sensitive/risky headers when following redirects
esbuild 0.19.121 Lückebehoben in 0.25.0Jemand könnte Daten lesen, die er nicht sehen dürfte. Von überall im Internet, ohne Konto.
- GHSA-67mh-4wv8-2f99esbuild enables any website to send any requests to the development server and read the response
jwt 2.8.11 Lückebehoben in 2.10.3Jemand könnte sich als ein anderer Nutzer ausgeben. Von überall im Internet, ohne Konto.
- GHSA-c32j-vqhx-rx3xruby-jwt: Empty-key HMAC bypass; cross-language sibling of CVE-2026-44351
undici 8.11.23 Lückenbehoben in 8.12.2Jemand könnte Daten oder Dateien verändern. Von überall im Internet, ohne Konto.
- GHSA-f72v-6w45-q472undici vulnerable to Subresource Integrity bypass via non-lowercase algorithm tokens
- GHSA-xjj6-f33q-929cundici vulnerable to Denial of Service via unhandled error on excessive content-encodings
- GHSA-4qv8-2p9j-2685undici vulnerable to Denial of Service via unbounded memory in the EventSource parser
@sveltejs/kit 2.70.32 Lückenbehoben in 3.0.0Jemand könnte die Leute angreifen, die es nutzen. Von überall im Internet, ohne Konto.
- GHSA-pfhg-q3qv-9q6rSvelteKit: URL redirection to untrusted site via enhanced form submission
- GHSA-27mw-82g8-phjjSvelteKit : XSS via untrusted cache-control header in prerendered page
aws-sdk-s3 1.151.01 Lückebehoben in 1.208.0Ein Schutz ist schwächer, als er sein sollte. Nur mit einem Konto.
- GHSA-2xgq-q749-89fqAWS SDK for Ruby's S3 Encryption Client has a Key Commitment Issue

Kann deinen Dienst lahmlegen oder verlangsamen

starlette 0.50.05 Lückenbehoben in 1.3.1Angreifer nutzen sie geradeEine Lücke, deren Folgen nicht genannt werden. Von überall im Internet, ohne Konto.
- GHSA-86qp-5c8j-p5mrStarlette has missing Host header validation that poisons request.url.path, bypassing path-based security checks
- GHSA-wqp7-x3pw-xc5rStarlette: SSRF and NTLM credential theft via UNC paths in StaticFiles on Windows
- GHSA-82w8-qh3p-5jfqStarlette: request.form() limits silently ignored for application/x-www-form-urlencoded enable DoS
- GHSA-x746-7m8f-x49cStarlette: Arbitrary HTTP method dispatched to `HTTPEndpoint` attributes via `getattr`
- GHSA-jp82-jpqv-5vv3Starlette: Unvalidated request path concatenated into authority poisons request.url.hostname
anyio 4.2.02 Lückenbehoben in 4.14.2Jemand könnte es zum Absturz bringen oder einfrieren lassen. Nur mit Zugang zum Rechner.
- GHSA-5p39-cfhj-2xmpAnyIO process-pool workers can block indefinitely on undrained stderr
- GHSA-82r6-8w77-94w6AnyIO: TLSStream IDNA 2003 host name encoding enables potential TLS certificate spoofing
body-parser 2.3.01 Lückebehoben in 2.4.0Jemand könnte es zum Absturz bringen oder einfrieren lassen. Von überall im Internet, ohne Konto.
- GHSA-27r3-jxmh-p828body-parser vulnerable to Denial of Service via trailing bytes after a compressed request body
protobuf 6.33.21 Lückebehoben in 6.33.5Jemand könnte es zum Absturz bringen oder einfrieren lassen. Von überall im Internet, ohne Konto.
- GHSA-7gcm-g887-7qv7protobuf affected by a JSON recursion depth bypass
ws 8.20.11 Lückebehoben in 8.21.0Jemand könnte es zum Absturz bringen oder einfrieren lassen. Von überall im Internet, ohne Konto.
- GHSA-96hv-2xvq-fx4pws: Memory exhaustion DoS from tiny fragments and data chunks

addressable 2.8.61 Lückebehoben in 2.9.0Jemand könnte es zum Absturz bringen oder einfrieren lassen. Von überall im Internet, ohne Konto.
- GHSA-h27x-rffw-24p4Addressable has a Regular Expression Denial of Service in Addressable templates
zod 4.4.31 Lückebehoben in 4.6.6Jemand könnte es zum Absturz bringen oder einfrieren lassen. Von überall im Internet, ohne Konto.
- GHSA-mrhx-c7xc-m3w5Zod can exhaust memory while validating oversized constrained collections
multer 2.4.01 Lückebehoben in 2.5.0Jemand könnte es zum Absturz bringen oder einfrieren lassen. Von überall im Internet, ohne Konto.
- GHSA-q7qp-rjg7-q26mmulter vulnerable to Denial of Service via a pending asynchronous fileFilter after request teardown
immutable 5.1.62 Lückenbehoben in 5.1.8Jemand könnte es zum Absturz bringen oder einfrieren lassen. Von überall im Internet, ohne Konto.
- GHSA-v56q-mh7h-f735Immutable.js `List` 32-bit trie overflow → unrecoverable DoS
- GHSA-xvcm-6775-5m9rImmutable: Hash-collision algorithmic complexity denial of service in Immutable.Map/Set
rexml 3.2.85 Lückenbehoben in 3.3.9Jemand könnte es zum Absturz bringen oder einfrieren lassen. Von überall im Internet, ohne Konto.
- GHSA-vmwr-mc7x-5vc3REXML denial of service vulnerability
- GHSA-2rxp-v6pw-ch6mREXML ReDoS vulnerability
- GHSA-4xqq-m2hx-25v8REXML denial of service vulnerability
- GHSA-5866-49gr-22v4REXML DoS vulnerability
- GHSA-r55c-59qm-vjw6REXML DoS vulnerability
idna 3.111 Lückebehoben in 3.15Jemand könnte es zum Absturz bringen oder einfrieren lassen. Von überall im Internet, ohne Konto.
- GHSA-65pc-fj4g-8rjxInternationalized Domain Names in Applications (IDNA): Specially crafted inputs to idna.encode() can bypass CVE-2024-3651 fix
postcss-selector-parser 6.1.41 Lückebehoben in 7.1.6Jemand könnte es zum Absturz bringen oder einfrieren lassen. Von überall im Internet, ohne Konto.
- GHSA-rj75-hqrm-r3gfPostCSS: Quadratic complexity in flat selector parsing allows CPU exhaustion
filelock 3.20.11 Lückebehoben in 3.20.3Jemand könnte es zum Absturz bringen oder einfrieren lassen. Nur mit Zugang zum Rechner.
- GHSA-qmgc-5h2g-mvrwfilelock Time-of-Check-Time-of-Use (TOCTOU) Symlink Vulnerability in SoftFileLock
pygments 2.17.21 Lückebehoben in 2.20.0Jemand könnte es zum Absturz bringen oder einfrieren lassen. Nur mit Zugang zum Rechner.
- GHSA-5239-wwwm-4pmqPygments has Regular Expression Denial of Service (ReDoS) due to Inefficient Regex for GUID Matching
cookie 0.6.01 Lückebehoben in 0.7.0Eine Lücke, deren Folgen nicht genannt werden.
- GHSA-pxg6-pf52-xh8xcookie accepts cookie name, path, and domain with out of bounds characters

Nur intern

Entwicklerwerkzeuge, Tests, Beispiele, Doku und Benchmarks: Sie erreichen deine Nutzer nicht und zählen daher nie in der Antwort.

tinypool 1.1.12 Lückenbehoben in 2.1.2Jemand könnte dort, wo es läuft, eigenen Code ausführen. Von überall im Internet, ohne Konto.
- GHSA-85c8-ppgw-ccprTinypool: Prototype Pollution Gadget to RCE in run() options
- GHSA-5gmw-xhrv-c9v3Tinypool: Prototype Pollution gadget in worker options leads to Remote Code Execution
brotli 1.1.02 Lückenbehoben in 1.2.1Jemand könnte dort, wo es läuft, eigenen Code ausführen. Von überall im Internet, ohne Konto.
- GHSA-9v8h-qqgm-4m35Brotli: Out-of-bounds write in the Brotli decoder ("Node2Shell") also affects the PyPI Brotli package
- GHSA-2qfp-q593-8484Scrapy is vulnerable to a denial of service (DoS) attack due to flaws in brotli decompression implementation
shell-quote 1.10.01 Lückebehoben in 1.11.0Jemand könnte dort, wo es läuft, eigenen Code ausführen. Von überall im Internet, ohne Konto.
- GHSA-pqg4-j6r4-53mvshell-quote: `quote()` command injection via a line terminator in a token after a `{ comment }` token
tar 6.2.112 Lückenbehoben in 7.5.21Jemand könnte Daten lesen, die er nicht sehen dürfte. Von überall im Internet, ohne Konto.
- GHSA-34x7-hfp2-rc4vnode-tar Vulnerable to Arbitrary File Creation/Overwrite via Hardlink Path Traversal
- GHSA-83g3-92jg-28cxArbitrary File Read/Write via Hardlink Target Escape Through Symlink Chain in node-tar Extraction
- GHSA-8qq5-rm4j-mr97node-tar is Vulnerable to Arbitrary File Overwrite and Symlink Poisoning via Insufficient Path Sanitization
- GHSA-9ppj-qmqm-q256node-tar Symlink Path Traversal via Drive-Relative Linkpath
- GHSA-qffp-2rhf-9h96tar has Hardlink Path Traversal via Drive-Relative Linkpath
- GHSA-r6q2-hw4h-h46wRace Condition in node-tar Path Reservations via Unicode Ligature Collisions on macOS APFS
- GHSA-vmf3-w455-68vhnode-tar applies PAX size override to intermediary GNU long-name/long-link headers, causing tar parser interpretation differential (file smuggling)
- GHSA-23hp-3jrh-7fpwnode-tar: Decompression/parse DoS via unlimited input
- GHSA-8x88-c5mf-7j5wnode-tar: Negative tar entry size causes infinite loop in archive replace
- GHSA-r292-9mhp-454mnode-tar: Uncontrolled recursion in mapHas/filesFilter allows uncatchable stack-overflow DoS via crafted long-path tar with member selection
- GHSA-gvwx-54wh-qm9jnode-tar: Uncaught Exception DoS via NUL byte in PAX path/linkpath records
- GHSA-w8wr-v893-vjvpnode-tar: Process crash via PAX numeric path type confusion
dompurify 3.4.125 Lückenbehoben in 3.4.17Jemand könnte die Leute angreifen, die es nutzen. Von überall im Internet, ohne Konto.
- GHSA-cg2g-xh64-v4q7DOMPurify SAFE_FOR_TEMPLATES bypass: split template expressions survive in attached shadow root content on DOM output modes
- GHSA-mrv2-3pqr-j5jrDOMPurify IN_PLACE: hook that removes a parent or sibling leaves the detached subtree's event handlers armed (incomplete fix for GHSA-p98j-92pf-mc4p)
- GHSA-55q2-fjhq-7xh7DOMPurify: IN_PLACE hook removal leaves a detached subtree executable, causing XSS
- GHSA-6688-9rhm-gjv2DOMPurify: IN_PLACE returns a force-removed rawtext root whose text carries attacker markup — pure HTML reparse executes
- GHSA-c6gr-qvv4-5v3fDOMPurify: SMIL attributeName=href guard is skipped when PARSER_MEDIA_TYPE is application/xhtml+xml
launch-editor 2.14.13 Lückenbehoben in 2.14.2Jemand könnte dort, wo es läuft, eigenen Code ausführen. Von überall im Internet, ohne Konto.
- GHSA-587h-7wmj-h5pmlaunch-editor: `fs.existsSync()` existence check can be bypassed on Windows
- GHSA-698v-4r3x-3vcvlaunch-editor: escapeCmdArgs() omits % escaping on Windows
- GHSA-r825-w8mm-5pxwlaunch-editor: Editor CLI flag misinterpretation causing arbitrary command execution for some editors
serialize-javascript 6.0.23 Lückenbehoben in 7.1.3Jemand könnte dort, wo es läuft, eigenen Code ausführen. Von überall im Internet, ohne Konto.
- GHSA-5c6j-r48x-rmvqSerialize JavaScript is Vulnerable to RCE via RegExp.flags and Date.prototype.toISOString()
- GHSA-m5mm-p8h7-m29vSerialize JavaScript: Cross-site scripting (XSS) via unescaped </script at the end of a serialized function body
- GHSA-qj8w-gfj5-8c6vSerialize JavaScript has CPU Exhaustion Denial of Service via crafted array-like objects
mermaid 11.16.05 Lückenbehoben in 11.16.1Jemand könnte dort, wo es läuft, eigenen Code ausführen. Von überall im Internet, ohne Konto.
- GHSA-6x64-9x62-f2gxMermaid allows CSS injection applying to sibling elements of the diagram
- GHSA-3rrr-jr9j-h3q3Mermaid Architecture diagrams are vulnerable to prototype pollution
- GHSA-c4c3-pg64-4m4vMermaid configuration APIs allow prototype pollution
- GHSA-2v8p-3f2j-5mp7Mermaid XY Charts are vulnerable to an infinite loop DoS
- GHSA-rhh3-jpg6-66xhMermaid radar diagrams are vulnerable to DoS
jinja2 3.1.43 Lückenbehoben in 3.1.6Jemand könnte dort, wo es läuft, eigenen Code ausführen. Nur mit Zugang zum Rechner.
- GHSA-cpwx-vrp4-4pq7Jinja2 vulnerable to sandbox breakout through attr filter selecting format method
- GHSA-gmj6-6f8f-6699Jinja has a sandbox breakout through malicious filenames
- GHSA-q2x7-8rv6-6q7hJinja has a sandbox breakout through indirect reference to format method
follow-redirects 1.16.02 Lückenbehoben in 1.16.1Jemand könnte Daten lesen, die er nicht sehen dürfte. Von überall im Internet, ohne Konto.
- GHSA-8r9p-f939-6h3cfollow-redirects sensitiveHeaders regex escaping can expose credential headers
- GHSA-q3jh-wrc6-jgq8follow-redirects array-form headers bypass cross-origin credential stripping
http-cache-semantics 4.2.01 LückeJemand könnte Daten lesen, die er nicht sehen dürfte. Von überall im Internet, ohne Konto.
- GHSA-ch52-4w7c-c8xphttp-cache-semantics max-stale handling can disclose cross-user cached responses
webpack-dev-middleware 7.4.51 Lückebehoben in 7.4.6Jemand könnte Daten lesen, die er nicht sehen dürfte. Von überall im Internet, ohne Konto.
- GHSA-g84c-rxfj-3j2cwebpack-dev-middleware vulnerable to Path Traversal via non-slash-terminated publicPath
wheel 0.45.11 Lückebehoben in 0.46.2Jemand könnte Daten lesen, die er nicht sehen dürfte. Nur mit Zugang zum Rechner.
- GHSA-8rrh-rw8j-w5fxWheel Affected by Arbitrary File Permission Modification via Path Traversal in wheel unpack
flask-cors 4.0.14 Lückenbehoben in 6.0.0Jemand könnte Daten lesen, die er nicht sehen dürfte. Von überall im Internet, ohne Konto.
- GHSA-43qf-4rqw-9q2gFlask-CORS vulnerable to Improper Handling of Case Sensitivity
- GHSA-hxwh-jpp2-84pmFlask-CORS allows the `Access-Control-Allow-Private-Network` CORS header to be set to true by default
- GHSA-7rxf-gvfg-47g4Flask-CORS improper regex path matching vulnerability
- GHSA-8vgw-p6qm-5gr7Flask-CORS allows for inconsistent CORS matching
werkzeug 3.0.36 Lückenbehoben in 3.1.9Jemand könnte Daten lesen, die er nicht sehen dürfte. Von überall im Internet, ohne Konto.
- GHSA-f9vj-2wh5-fj8jWerkzeug safe_join not safe on Windows
- GHSA-q34m-jh98-gwm2Werkzeug possible resource exhaustion when parsing file data in forms
- GHSA-29vq-49wr-vm6x Werkzeug safe_join() allows Windows special device names
- GHSA-87hc-h4r5-73f7 Werkzeug safe_join() allows Windows special device names with compound extensions
- GHSA-g6x2-hccm-hh4mWerkzeug safe_join() allows Windows special device names
- GHSA-hgf8-39gv-g3f2Werkzeug safe_join() allows Windows special device names
setuptools 80.9.02 Lückenbehoben in 84.1.0Jemand könnte Daten lesen, die er nicht sehen dürfte. Nur mit Zugang zum Rechner.
- GHSA-h35f-9h28-mq5csetuptools: MANIFEST.in exclusion bypass in sdist via Unicode normalization collision (NFC/NFD) on macOS APFS/HFS+
- GHSA-xmj3-9gf7-h52wsetuptools: Windows path escape via namespace_packages.txt during legacy wheel installation Description
joi 17.13.44 Lückenbehoben in 17.13.8Jemand könnte Daten oder Dateien verändern. Von überall im Internet, ohne Konto.
- GHSA-wr44-6hxh-3jwqjoi messages compilation allows prototype replacement through __proto__ error codes
- GHSA-6w3j-5fw6-r9vrjoi: Prototype pollution via a `__proto__` language key in custom messages
- GHSA-gg4h-3hg2-grpcjoi: object().rename() with a template target can set the validated object's prototype
- GHSA-6h2x-m376-mqjqjoi: Quadratic regular-expression backtracking in `Joi.string().isoDate()`
katex 0.16.471 Lückebehoben in 0.18.2Jemand könnte Daten oder Dateien verändern. Von überall im Internet, ohne Konto.
- GHSA-238p-pmpm-9mq7KaTeX: Existing prototype pollution can bypass trust restrictions
svgo 3.3.42 Lückenbehoben in 3.3.5Jemand könnte die Leute angreifen, die es nutzen. Von überall im Internet, ohne Konto.
- GHSA-w27v-7q3p-w38rSVGO: removeScripts allows executable links through namespace and control-character bypasses
- GHSA-4vpr-x523-8j87SVGO: removeScripts incompletely sanitizes executable HTML in SVG foreignObject elements
body-parser 1.20.61 Lückebehoben in 1.20.9Jemand könnte es zum Absturz bringen oder einfrieren lassen. Von überall im Internet, ohne Konto.
- GHSA-27r3-jxmh-p828body-parser vulnerable to Denial of Service via trailing bytes after a compressed request body
brace-expansion 1.1.156 Lückenbehoben in 1.1.21Jemand könnte es zum Absturz bringen oder einfrieren lassen. Von überall im Internet, ohne Konto.
- GHSA-3jxr-9vmj-r5cpbrace-expansion: DoS via exponential-time expansion of consecutive non-expanding {} groups
- GHSA-6j4f-fj2g-mc7pbrace-expansion: DoS via uncontrolled recursion in parseCommaParts causing stack exhaustion
- GHSA-mh99-v99m-4gvgbrace-expansion: DoS via unbounded expansion length causing an out-of-memory process crash
- GHSA-qhr7-859c-m2p7brace-expansion: DoS via uncontrolled recursion on nested brace groups causing stack exhaustion
- GHSA-rgw5-rvv9-x895brace-expansion: DoS via unbounded intermediate arrays, bypassing the CVE-2026-14257 mitigation
- GHSA-q2hr-2g5m-vwhrbrace-expansion: Quadratic-time expansion of the `{a},b}` rewrite causes CPU denial of service
image-size 2.0.22 Lückenbehoben in 2.0.3Jemand könnte es zum Absturz bringen oder einfrieren lassen. Von überall im Internet, ohne Konto.
- GHSA-5p2g-fcmc-qvqqimage-size: JXL and HEIF parsers allow denial of service through infinite loops
- GHSA-w3rx-r6r6-pgprimage-size: ICNS parser allows denial of service through an infinite loop
python-socketio 5.16.01 Lückebehoben in 5.16.2Jemand könnte es zum Absturz bringen oder einfrieren lassen. Von überall im Internet, ohne Konto.
- GHSA-5w7q-77mv-v69fpython-socketio: Binary attachment accumulation can cause denial of service
msgpack 1.1.21 Lückebehoben in 1.2.1Jemand könnte es zum Absturz bringen oder einfrieren lassen. Von überall im Internet, ohne Konto.
- GHSA-6v7p-g79w-8964MessagePack for Python: Out-of-bounds read / crash on Unpacker reuse after a caught error
python-engineio 4.12.22 Lückenbehoben in 4.13.2Jemand könnte es zum Absturz bringen oder einfrieren lassen. Von überall im Internet, ohne Konto.
- GHSA-cgwc-pv48-fhj5python-engineio has unbound thread allocation that can cause denial of service
- GHSA-m9gh-vj53-gvh9python-engineio has possible denial of service due to maximum payload size sometimes not being enforced
colord 2.9.31 Lückebehoben in 2.9.4Jemand könnte es zum Absturz bringen oder einfrieren lassen. Von überall im Internet, ohne Konto.
- GHSA-2wm5-q62r-hmrvColord: Slow rejection of oversized malformed color strings
qs 6.15.32 Lückenbehoben in 6.16.0Jemand könnte es zum Absturz bringen oder einfrieren lassen. Von überall im Internet, ohne Konto.
- GHSA-4mjr-xmp4-gh2gqs: Denial of Service via Attacker Controlled isBuffer
- GHSA-x5fp-wj9c-mxmxqs array-limit bypass via bracket-key comma parsing
postcss-selector-parser 7.1.51 Lückebehoben in 7.1.6Jemand könnte es zum Absturz bringen oder einfrieren lassen. Von überall im Internet, ohne Konto.
- GHSA-rj75-hqrm-r3gfPostCSS: Quadratic complexity in flat selector parsing allows CPU exhaustion
uuid 8.3.21 Lückebehoben in 11.1.1Eine Lücke, deren Folgen nicht genannt werden. Von überall im Internet, ohne Konto.
- GHSA-w5hq-g745-h8pquuid: Missing buffer bounds check in v3/v5/v6 when buf is provided
flask 3.0.01 Lückebehoben in 3.1.3Eine Lücke, deren Folgen nicht genannt werden. Von überall im Internet, ohne Konto.
- GHSA-68rp-wp8r-4726Flask session does not add `Vary: Cookie` header when accessed in some ways

Schreib mir, wenn sich das ändert

Eine E-Mail zum Bestätigen, danach nur eine, wenn die Antwort schlechter wird oder eine neue ernste Lücke auftaucht: höchstens eine am Tag, sofort, wenn Angreifer sie nutzen. Abmelden mit einem Klick.

Setz das Badge in deine README

Es zeigt diese Antwort und ändert sich mit ihr.

[![Ist immich-app/immich in Ordnung?](https://istheinternetok.com/r/immich-app/immich/badge.svg)](https://istheinternetok.com/r/immich-app/immich/)

Gelesen aus machine-learning/uv.lock, mobile/android/Gemfile.lock, mobile/ios/Runner.xcodeproj/project.xcworkspace/xcshareddata/swiftpm/Package.resolved, mobile/ios/Runner.xcworkspace/xcshareddata/swiftpm/Package.resolved, mobile/packages/ui/pubspec.lock, mobile/pubspec.lock, native/Cargo.lock, pnpm-lock.yaml, mobile/android/gradle/libs.versions.toml.