immich-app/immich va bien ?

Non.

Une faille que les attaquants utilisent en ce moment.

Interne : 79 failles dans les tests et les outils, aucune n'atteint tes utilisateurs.

Vérifié 16:52 UTCcommit 256eb55alertes à jour : 16:51 UTC

Impossible de lire mobile/ios/Podfile.lock : cette réponse ne couvre que le reste du dépôt.

Pas de lockfile pour mobile/android/gradle/libs.versions.toml : seules les versions qui y sont écrites ont été vérifiées, pas les paquets qu'elles entraînent.

Poster sur X

13 choses à mettre à jour

Mets à jour fastapiLes attaquants l'utilisent en ce momentQuelqu'un pourrait lire des données qu'il ne devrait pas voir.
- starlette 0.50.05 faillescorrigé dans 1.3.1Les attaquants l'utilisent en ce moment
  Une faille dont l'effet n'est pas précisé. Depuis n'importe où sur Internet, sans compte.
  - GHSA-86qp-5c8j-p5mrStarlette has missing Host header validation that poisons request.url.path, bypassing path-based security checks
  - GHSA-wqp7-x3pw-xc5rStarlette: SSRF and NTLM credential theft via UNC paths in StaticFiles on Windows
  - GHSA-82w8-qh3p-5jfqStarlette: request.form() limits silently ignored for application/x-www-form-urlencoded enable DoS
  - GHSA-x746-7m8f-x49cStarlette: Arbitrary HTTP method dispatched to `HTTPEndpoint` attributes via `getattr`
  - GHSA-jp82-jpqv-5vv3Starlette: Unvalidated request path concatenated into authority poisons request.url.hostname
- anyio 4.2.02 faillescorrigé dans 4.14.2
  Quelqu'un pourrait le faire planter ou le figer. Seulement avec un accès à la machine.
  - GHSA-5p39-cfhj-2xmpAnyIO process-pool workers can block indefinitely on undrained stderr
  - GHSA-82r6-8w77-94w6AnyIO: TLSStream IDNA 2003 host name encoding enables potential TLS certificate spoofing
Passe happy-dom en 21.0.4Quelqu'un pourrait lancer son propre code là où il tourne.
- happy-dom 21.0.31 faillecorrigé dans 21.0.4
  Quelqu'un pourrait lancer son propre code là où il tourne. Depuis n'importe où sur Internet, sans compte.
  - GHSA-834v-8h66-3h79Happy DOM: Incomplete fix for CVE-2026-33943: unsanitized import alias leads to host code execution
Mets à jour huggingface-hubQuelqu'un pourrait lancer son propre code là où il tourne.
- fsspec 2023.12.21 faillecorrigé dans 2026.6.0
  Quelqu'un pourrait lancer son propre code là où il tourne. Depuis n'importe où sur Internet, sans compte.
  - GHSA-27vj-qcqg-25rcfsspec: Server-Side Template Injection in ReferenceFileSystem leads to Remote Code Execution

Mets à jour fastlaneQuelqu'un pourrait lire des données qu'il ne devrait pas voir.
- rubyzip 2.3.21 faillecorrigé dans 3.4.0
  Quelqu'un pourrait lire des données qu'il ne devrait pas voir. Depuis n'importe où sur Internet, sans compte.
  - GHSA-47m2-wp7j-p9vcrubyzip path traversal vulnerability
- faraday 1.10.32 faillescorrigé dans 1.10.6
  Quelqu'un pourrait lire des données qu'il ne devrait pas voir. Depuis n'importe où sur Internet, sans compte.
  - GHSA-33mh-2634-fwr2Faraday affected by SSRF via protocol-relative URL host override in build_exclusive_url
  - GHSA-98m9-hrrm-r99rFaraday: Uncontrolled recursion in NestedParamsEncoder allows stack exhaustion DoS via deeply nested query parameters
- Voir 3 de plus
  - jwt 2.8.11 faillecorrigé dans 2.10.3
    Quelqu'un pourrait se faire passer pour un autre utilisateur. Depuis n'importe où sur Internet, sans compte.
    GHSA-c32j-vqhx-rx3xruby-jwt: Empty-key HMAC bypass; cross-language sibling of CVE-2026-44351
  - addressable 2.8.61 faillecorrigé dans 2.9.0
    Quelqu'un pourrait le faire planter ou le figer. Depuis n'importe où sur Internet, sans compte.
    GHSA-h27x-rffw-24p4Addressable has a Regular Expression Denial of Service in Addressable templates
  - rexml 3.2.85 faillescorrigé dans 3.3.9
    Quelqu'un pourrait le faire planter ou le figer. Depuis n'importe où sur Internet, sans compte.
    GHSA-vmwr-mc7x-5vc3REXML denial of service vulnerability
    GHSA-2rxp-v6pw-ch6mREXML ReDoS vulnerability
    GHSA-4xqq-m2hx-25v8REXML denial of service vulnerability
    GHSA-5866-49gr-22v4REXML DoS vulnerability
    GHSA-r55c-59qm-vjw6REXML DoS vulnerability
Mets à jour rapidocrQuelqu'un pourrait lire des données qu'il ne devrait pas voir.
- urllib3 2.6.26 faillescorrigé dans 2.8.0
  Quelqu'un pourrait lire des données qu'il ne devrait pas voir. Depuis n'importe où sur Internet, sans compte.
  - GHSA-qccp-gfcp-xxvcurllib3: Sensitive headers forwarded across origins in proxied low-level redirects
  - GHSA-38jv-5279-wg99Decompression-bomb safeguards bypassed when following HTTP redirects (streaming API)
  - GHSA-mf9v-mfxr-j63jurllib3: Decompression-bomb safeguards bypassed in parts of the streaming API
  - GHSA-vxq7-64xx-v4gwurllib3: HTTPResponse.stream()/read_chunked() buffers an unbounded chunk-size line into memory
  - GHSA-gh4c-6fx4-qh6gurllib3: Chunked Deflate streaming can enter an infinite loop
  - GHSA-8988-9cw3-xx77urllib3: HTTPS proxy TLS configuration may be ignored or overridden
Mets à jour react-emailQuelqu'un pourrait lire des données qu'il ne devrait pas voir.
- fast-uri 3.1.411 faillescorrigé dans 3.1.9
  Quelqu'un pourrait lire des données qu'il ne devrait pas voir. Depuis n'importe où sur Internet, sans compte.
  - GHSA-f65p-4m7j-42xcfast-uri vulnerable to server-side request forgery via malformed IPv6 normalization
  - GHSA-fph4-wmhf-6fwffast-uri vulnerable to server-side request forgery via repeated hostname percent-decoding
  - GHSA-5jgf-p345-68v8fast-uri vulnerable to host confusion via skipped IDN canonicalization on scheme-relative references
  - GHSA-7p8r-x3mc-p8w7fast-uri vulnerable to host confusion via backslash authority introducer
  - GHSA-jqff-g426-hqxpfast-uri vulnerable to host confusion via percent-encoded scheme normalization
  - GHSA-qw65-cvwx-89v3fast-uri vulnerable to authority injection via an unvalidated port in serialize
  - GHSA-333x-w4r6-6crpfast-uri vulnerable to scheme injection via an unescaped first-segment colon in suffix references
  - GHSA-hrr3-gc8f-f4qjfast-uri vulnerable to inconsistent host case normalization via percent-encoded octets
  - GHSA-w74x-v6f9-j3xgfast-uri vulnerable to URI scheme spoofing via percent-encoded scheme decoding
  - GHSA-wjr9-j795-jxcrfast-uri vulnerable to host confusion via unchecked WHATWG host canonicalization
  - GHSA-xhq7-xmqj-769hfast-uri vulnerable to improper path equivalence in relative reference normalization
Mets à jour @immich/uiQuelqu'un pourrait le faire planter ou le figer.
- immutable 5.1.62 faillescorrigé dans 5.1.8
  Quelqu'un pourrait le faire planter ou le figer. Depuis n'importe où sur Internet, sans compte.
  - GHSA-v56q-mh7h-f735Immutable.js `List` 32-bit trie overflow → unrecoverable DoS
  - GHSA-xvcm-6775-5m9rImmutable: Hash-collision algorithmic complexity denial of service in Immutable.Map/Set
Mets à jour bcryptQuelqu'un pourrait le faire planter ou le figer.
- undici 8.11.23 faillescorrigé dans 8.12.2
  Quelqu'un pourrait modifier des données ou des fichiers. Depuis n'importe où sur Internet, sans compte.
  - GHSA-f72v-6w45-q472undici vulnerable to Subresource Integrity bypass via non-lowercase algorithm tokens
  - GHSA-xjj6-f33q-929cundici vulnerable to Denial of Service via unhandled error on excessive content-encodings
  - GHSA-4qv8-2p9j-2685undici vulnerable to Denial of Service via unbounded memory in the EventSource parser
Passe body-parser en 2.4.0Quelqu'un pourrait le faire planter ou le figer.
- body-parser 2.3.01 faillecorrigé dans 2.4.0
  Quelqu'un pourrait le faire planter ou le figer. Depuis n'importe où sur Internet, sans compte.
  - GHSA-27r3-jxmh-p828body-parser vulnerable to Denial of Service via trailing bytes after a compressed request body
Mets à jour immich-modelQuelqu'un pourrait le faire planter ou le figer.
- protobuf 6.33.21 faillecorrigé dans 6.33.5
  Quelqu'un pourrait le faire planter ou le figer. Depuis n'importe où sur Internet, sans compte.
  - GHSA-7gcm-g887-7qv7protobuf affected by a JSON recursion depth bypass
Passe multer en 2.5.0Quelqu'un pourrait le faire planter ou le figer.
- multer 2.4.01 faillecorrigé dans 2.5.0
  Quelqu'un pourrait le faire planter ou le figer. Depuis n'importe où sur Internet, sans compte.
  - GHSA-q7qp-rjg7-q26mmulter vulnerable to Denial of Service via a pending asynchronous fileFilter after request teardown
Mets à jour socket.io-clientQuelqu'un pourrait le faire planter ou le figer.
- ws 8.20.11 faillecorrigé dans 8.21.0
  Quelqu'un pourrait le faire planter ou le figer. Depuis n'importe où sur Internet, sans compte.
  - GHSA-96hv-2xvq-fx4pws: Memory exhaustion DoS from tiny fragments and data chunks
Passe zod en 4.6.6Quelqu'un pourrait le faire planter ou le figer.
- zod 4.4.31 faillecorrigé dans 4.6.6
  Quelqu'un pourrait le faire planter ou le figer. Depuis n'importe où sur Internet, sans compte.
  - GHSA-mrhx-c7xc-m3w5Zod can exhaust memory while validating oversized constrained collections

Touche tes utilisateurs

56 failles dans ce que le projet livre, les plus graves d'abord.

Peut exposer les données de tes utilisateurs ou permettre une prise de contrôle

fsspec 2023.12.21 faillecorrigé dans 2026.6.0Quelqu'un pourrait lancer son propre code là où il tourne. Depuis n'importe où sur Internet, sans compte.
- GHSA-27vj-qcqg-25rcfsspec: Server-Side Template Injection in ReferenceFileSystem leads to Remote Code Execution
happy-dom 21.0.31 faillecorrigé dans 21.0.4Quelqu'un pourrait lancer son propre code là où il tourne. Depuis n'importe où sur Internet, sans compte.
- GHSA-834v-8h66-3h79Happy DOM: Incomplete fix for CVE-2026-33943: unsanitized import alias leads to host code execution
rubyzip 2.3.21 faillecorrigé dans 3.4.0Quelqu'un pourrait lire des données qu'il ne devrait pas voir. Depuis n'importe où sur Internet, sans compte.
- GHSA-47m2-wp7j-p9vcrubyzip path traversal vulnerability
fast-uri 3.1.411 faillescorrigé dans 3.1.9Quelqu'un pourrait lire des données qu'il ne devrait pas voir. Depuis n'importe où sur Internet, sans compte.
- GHSA-f65p-4m7j-42xcfast-uri vulnerable to server-side request forgery via malformed IPv6 normalization
- GHSA-fph4-wmhf-6fwffast-uri vulnerable to server-side request forgery via repeated hostname percent-decoding
- GHSA-5jgf-p345-68v8fast-uri vulnerable to host confusion via skipped IDN canonicalization on scheme-relative references
- GHSA-7p8r-x3mc-p8w7fast-uri vulnerable to host confusion via backslash authority introducer
- GHSA-jqff-g426-hqxpfast-uri vulnerable to host confusion via percent-encoded scheme normalization
- GHSA-qw65-cvwx-89v3fast-uri vulnerable to authority injection via an unvalidated port in serialize
- GHSA-333x-w4r6-6crpfast-uri vulnerable to scheme injection via an unescaped first-segment colon in suffix references
- GHSA-hrr3-gc8f-f4qjfast-uri vulnerable to inconsistent host case normalization via percent-encoded octets
- GHSA-w74x-v6f9-j3xgfast-uri vulnerable to URI scheme spoofing via percent-encoded scheme decoding
- GHSA-wjr9-j795-jxcrfast-uri vulnerable to host confusion via unchecked WHATWG host canonicalization
- GHSA-xhq7-xmqj-769hfast-uri vulnerable to improper path equivalence in relative reference normalization
urllib3 2.6.26 faillescorrigé dans 2.8.0Quelqu'un pourrait lire des données qu'il ne devrait pas voir. Depuis n'importe où sur Internet, sans compte.
- GHSA-qccp-gfcp-xxvcurllib3: Sensitive headers forwarded across origins in proxied low-level redirects
- GHSA-38jv-5279-wg99Decompression-bomb safeguards bypassed when following HTTP redirects (streaming API)
- GHSA-mf9v-mfxr-j63jurllib3: Decompression-bomb safeguards bypassed in parts of the streaming API
- GHSA-vxq7-64xx-v4gwurllib3: HTTPResponse.stream()/read_chunked() buffers an unbounded chunk-size line into memory
- GHSA-gh4c-6fx4-qh6gurllib3: Chunked Deflate streaming can enter an infinite loop
- GHSA-8988-9cw3-xx77urllib3: HTTPS proxy TLS configuration may be ignored or overridden

faraday 1.10.32 faillescorrigé dans 1.10.6Quelqu'un pourrait lire des données qu'il ne devrait pas voir. Depuis n'importe où sur Internet, sans compte.
- GHSA-33mh-2634-fwr2Faraday affected by SSRF via protocol-relative URL host override in build_exclusive_url
- GHSA-98m9-hrrm-r99rFaraday: Uncontrolled recursion in NestedParamsEncoder allows stack exhaustion DoS via deeply nested query parameters
excon 0.110.01 faillecorrigé dans 1.5.0Quelqu'un pourrait lire des données qu'il ne devrait pas voir. Depuis n'importe où sur Internet, sans compte.
- GHSA-48rx-c7pg-q66rExcon does not redact additional sensitive/risky headers when following redirects
esbuild 0.19.121 faillecorrigé dans 0.25.0Quelqu'un pourrait lire des données qu'il ne devrait pas voir. Depuis n'importe où sur Internet, sans compte.
- GHSA-67mh-4wv8-2f99esbuild enables any website to send any requests to the development server and read the response
jwt 2.8.11 faillecorrigé dans 2.10.3Quelqu'un pourrait se faire passer pour un autre utilisateur. Depuis n'importe où sur Internet, sans compte.
- GHSA-c32j-vqhx-rx3xruby-jwt: Empty-key HMAC bypass; cross-language sibling of CVE-2026-44351
undici 8.11.23 faillescorrigé dans 8.12.2Quelqu'un pourrait modifier des données ou des fichiers. Depuis n'importe où sur Internet, sans compte.
- GHSA-f72v-6w45-q472undici vulnerable to Subresource Integrity bypass via non-lowercase algorithm tokens
- GHSA-xjj6-f33q-929cundici vulnerable to Denial of Service via unhandled error on excessive content-encodings
- GHSA-4qv8-2p9j-2685undici vulnerable to Denial of Service via unbounded memory in the EventSource parser
@sveltejs/kit 2.70.32 faillescorrigé dans 3.0.0Quelqu'un pourrait attaquer les gens qui l'utilisent. Depuis n'importe où sur Internet, sans compte.
- GHSA-pfhg-q3qv-9q6rSvelteKit: URL redirection to untrusted site via enhanced form submission
- GHSA-27mw-82g8-phjjSvelteKit : XSS via untrusted cache-control header in prerendered page
aws-sdk-s3 1.151.01 faillecorrigé dans 1.208.0Une protection est plus faible qu'elle ne devrait. Seulement avec un compte.
- GHSA-2xgq-q749-89fqAWS SDK for Ruby's S3 Encryption Client has a Key Commitment Issue

Peut casser ou ralentir ton service

starlette 0.50.05 faillescorrigé dans 1.3.1Les attaquants l'utilisent en ce momentUne faille dont l'effet n'est pas précisé. Depuis n'importe où sur Internet, sans compte.
- GHSA-86qp-5c8j-p5mrStarlette has missing Host header validation that poisons request.url.path, bypassing path-based security checks
- GHSA-wqp7-x3pw-xc5rStarlette: SSRF and NTLM credential theft via UNC paths in StaticFiles on Windows
- GHSA-82w8-qh3p-5jfqStarlette: request.form() limits silently ignored for application/x-www-form-urlencoded enable DoS
- GHSA-x746-7m8f-x49cStarlette: Arbitrary HTTP method dispatched to `HTTPEndpoint` attributes via `getattr`
- GHSA-jp82-jpqv-5vv3Starlette: Unvalidated request path concatenated into authority poisons request.url.hostname
anyio 4.2.02 faillescorrigé dans 4.14.2Quelqu'un pourrait le faire planter ou le figer. Seulement avec un accès à la machine.
- GHSA-5p39-cfhj-2xmpAnyIO process-pool workers can block indefinitely on undrained stderr
- GHSA-82r6-8w77-94w6AnyIO: TLSStream IDNA 2003 host name encoding enables potential TLS certificate spoofing
body-parser 2.3.01 faillecorrigé dans 2.4.0Quelqu'un pourrait le faire planter ou le figer. Depuis n'importe où sur Internet, sans compte.
- GHSA-27r3-jxmh-p828body-parser vulnerable to Denial of Service via trailing bytes after a compressed request body
protobuf 6.33.21 faillecorrigé dans 6.33.5Quelqu'un pourrait le faire planter ou le figer. Depuis n'importe où sur Internet, sans compte.
- GHSA-7gcm-g887-7qv7protobuf affected by a JSON recursion depth bypass
ws 8.20.11 faillecorrigé dans 8.21.0Quelqu'un pourrait le faire planter ou le figer. Depuis n'importe où sur Internet, sans compte.
- GHSA-96hv-2xvq-fx4pws: Memory exhaustion DoS from tiny fragments and data chunks

addressable 2.8.61 faillecorrigé dans 2.9.0Quelqu'un pourrait le faire planter ou le figer. Depuis n'importe où sur Internet, sans compte.
- GHSA-h27x-rffw-24p4Addressable has a Regular Expression Denial of Service in Addressable templates
zod 4.4.31 faillecorrigé dans 4.6.6Quelqu'un pourrait le faire planter ou le figer. Depuis n'importe où sur Internet, sans compte.
- GHSA-mrhx-c7xc-m3w5Zod can exhaust memory while validating oversized constrained collections
multer 2.4.01 faillecorrigé dans 2.5.0Quelqu'un pourrait le faire planter ou le figer. Depuis n'importe où sur Internet, sans compte.
- GHSA-q7qp-rjg7-q26mmulter vulnerable to Denial of Service via a pending asynchronous fileFilter after request teardown
immutable 5.1.62 faillescorrigé dans 5.1.8Quelqu'un pourrait le faire planter ou le figer. Depuis n'importe où sur Internet, sans compte.
- GHSA-v56q-mh7h-f735Immutable.js `List` 32-bit trie overflow → unrecoverable DoS
- GHSA-xvcm-6775-5m9rImmutable: Hash-collision algorithmic complexity denial of service in Immutable.Map/Set
rexml 3.2.85 faillescorrigé dans 3.3.9Quelqu'un pourrait le faire planter ou le figer. Depuis n'importe où sur Internet, sans compte.
- GHSA-vmwr-mc7x-5vc3REXML denial of service vulnerability
- GHSA-2rxp-v6pw-ch6mREXML ReDoS vulnerability
- GHSA-4xqq-m2hx-25v8REXML denial of service vulnerability
- GHSA-5866-49gr-22v4REXML DoS vulnerability
- GHSA-r55c-59qm-vjw6REXML DoS vulnerability
idna 3.111 faillecorrigé dans 3.15Quelqu'un pourrait le faire planter ou le figer. Depuis n'importe où sur Internet, sans compte.
- GHSA-65pc-fj4g-8rjxInternationalized Domain Names in Applications (IDNA): Specially crafted inputs to idna.encode() can bypass CVE-2024-3651 fix
postcss-selector-parser 6.1.41 faillecorrigé dans 7.1.6Quelqu'un pourrait le faire planter ou le figer. Depuis n'importe où sur Internet, sans compte.
- GHSA-rj75-hqrm-r3gfPostCSS: Quadratic complexity in flat selector parsing allows CPU exhaustion
filelock 3.20.11 faillecorrigé dans 3.20.3Quelqu'un pourrait le faire planter ou le figer. Seulement avec un accès à la machine.
- GHSA-qmgc-5h2g-mvrwfilelock Time-of-Check-Time-of-Use (TOCTOU) Symlink Vulnerability in SoftFileLock
pygments 2.17.21 faillecorrigé dans 2.20.0Quelqu'un pourrait le faire planter ou le figer. Seulement avec un accès à la machine.
- GHSA-5239-wwwm-4pmqPygments has Regular Expression Denial of Service (ReDoS) due to Inefficient Regex for GUID Matching
cookie 0.6.01 faillecorrigé dans 0.7.0Une faille dont l'effet n'est pas précisé.
- GHSA-pxg6-pf52-xh8xcookie accepts cookie name, path, and domain with out of bounds characters

Interne seulement

Outils de dev, tests, exemples, docs et benchmarks : ils n'atteignent pas tes utilisateurs, donc ne comptent jamais dans la réponse.

tinypool 1.1.12 faillescorrigé dans 2.1.2Quelqu'un pourrait lancer son propre code là où il tourne. Depuis n'importe où sur Internet, sans compte.
- GHSA-85c8-ppgw-ccprTinypool: Prototype Pollution Gadget to RCE in run() options
- GHSA-5gmw-xhrv-c9v3Tinypool: Prototype Pollution gadget in worker options leads to Remote Code Execution
brotli 1.1.02 faillescorrigé dans 1.2.1Quelqu'un pourrait lancer son propre code là où il tourne. Depuis n'importe où sur Internet, sans compte.
- GHSA-9v8h-qqgm-4m35Brotli: Out-of-bounds write in the Brotli decoder ("Node2Shell") also affects the PyPI Brotli package
- GHSA-2qfp-q593-8484Scrapy is vulnerable to a denial of service (DoS) attack due to flaws in brotli decompression implementation
shell-quote 1.10.01 faillecorrigé dans 1.11.0Quelqu'un pourrait lancer son propre code là où il tourne. Depuis n'importe où sur Internet, sans compte.
- GHSA-pqg4-j6r4-53mvshell-quote: `quote()` command injection via a line terminator in a token after a `{ comment }` token
tar 6.2.112 faillescorrigé dans 7.5.21Quelqu'un pourrait lire des données qu'il ne devrait pas voir. Depuis n'importe où sur Internet, sans compte.
- GHSA-34x7-hfp2-rc4vnode-tar Vulnerable to Arbitrary File Creation/Overwrite via Hardlink Path Traversal
- GHSA-83g3-92jg-28cxArbitrary File Read/Write via Hardlink Target Escape Through Symlink Chain in node-tar Extraction
- GHSA-8qq5-rm4j-mr97node-tar is Vulnerable to Arbitrary File Overwrite and Symlink Poisoning via Insufficient Path Sanitization
- GHSA-9ppj-qmqm-q256node-tar Symlink Path Traversal via Drive-Relative Linkpath
- GHSA-qffp-2rhf-9h96tar has Hardlink Path Traversal via Drive-Relative Linkpath
- GHSA-r6q2-hw4h-h46wRace Condition in node-tar Path Reservations via Unicode Ligature Collisions on macOS APFS
- GHSA-vmf3-w455-68vhnode-tar applies PAX size override to intermediary GNU long-name/long-link headers, causing tar parser interpretation differential (file smuggling)
- GHSA-23hp-3jrh-7fpwnode-tar: Decompression/parse DoS via unlimited input
- GHSA-8x88-c5mf-7j5wnode-tar: Negative tar entry size causes infinite loop in archive replace
- GHSA-r292-9mhp-454mnode-tar: Uncontrolled recursion in mapHas/filesFilter allows uncatchable stack-overflow DoS via crafted long-path tar with member selection
- GHSA-gvwx-54wh-qm9jnode-tar: Uncaught Exception DoS via NUL byte in PAX path/linkpath records
- GHSA-w8wr-v893-vjvpnode-tar: Process crash via PAX numeric path type confusion
dompurify 3.4.125 faillescorrigé dans 3.4.17Quelqu'un pourrait attaquer les gens qui l'utilisent. Depuis n'importe où sur Internet, sans compte.
- GHSA-cg2g-xh64-v4q7DOMPurify SAFE_FOR_TEMPLATES bypass: split template expressions survive in attached shadow root content on DOM output modes
- GHSA-mrv2-3pqr-j5jrDOMPurify IN_PLACE: hook that removes a parent or sibling leaves the detached subtree's event handlers armed (incomplete fix for GHSA-p98j-92pf-mc4p)
- GHSA-55q2-fjhq-7xh7DOMPurify: IN_PLACE hook removal leaves a detached subtree executable, causing XSS
- GHSA-6688-9rhm-gjv2DOMPurify: IN_PLACE returns a force-removed rawtext root whose text carries attacker markup — pure HTML reparse executes
- GHSA-c6gr-qvv4-5v3fDOMPurify: SMIL attributeName=href guard is skipped when PARSER_MEDIA_TYPE is application/xhtml+xml
launch-editor 2.14.13 faillescorrigé dans 2.14.2Quelqu'un pourrait lancer son propre code là où il tourne. Depuis n'importe où sur Internet, sans compte.
- GHSA-587h-7wmj-h5pmlaunch-editor: `fs.existsSync()` existence check can be bypassed on Windows
- GHSA-698v-4r3x-3vcvlaunch-editor: escapeCmdArgs() omits % escaping on Windows
- GHSA-r825-w8mm-5pxwlaunch-editor: Editor CLI flag misinterpretation causing arbitrary command execution for some editors
serialize-javascript 6.0.23 faillescorrigé dans 7.1.3Quelqu'un pourrait lancer son propre code là où il tourne. Depuis n'importe où sur Internet, sans compte.
- GHSA-5c6j-r48x-rmvqSerialize JavaScript is Vulnerable to RCE via RegExp.flags and Date.prototype.toISOString()
- GHSA-m5mm-p8h7-m29vSerialize JavaScript: Cross-site scripting (XSS) via unescaped </script at the end of a serialized function body
- GHSA-qj8w-gfj5-8c6vSerialize JavaScript has CPU Exhaustion Denial of Service via crafted array-like objects
mermaid 11.16.05 faillescorrigé dans 11.16.1Quelqu'un pourrait lancer son propre code là où il tourne. Depuis n'importe où sur Internet, sans compte.
- GHSA-6x64-9x62-f2gxMermaid allows CSS injection applying to sibling elements of the diagram
- GHSA-3rrr-jr9j-h3q3Mermaid Architecture diagrams are vulnerable to prototype pollution
- GHSA-c4c3-pg64-4m4vMermaid configuration APIs allow prototype pollution
- GHSA-2v8p-3f2j-5mp7Mermaid XY Charts are vulnerable to an infinite loop DoS
- GHSA-rhh3-jpg6-66xhMermaid radar diagrams are vulnerable to DoS
jinja2 3.1.43 faillescorrigé dans 3.1.6Quelqu'un pourrait lancer son propre code là où il tourne. Seulement avec un accès à la machine.
- GHSA-cpwx-vrp4-4pq7Jinja2 vulnerable to sandbox breakout through attr filter selecting format method
- GHSA-gmj6-6f8f-6699Jinja has a sandbox breakout through malicious filenames
- GHSA-q2x7-8rv6-6q7hJinja has a sandbox breakout through indirect reference to format method
follow-redirects 1.16.02 faillescorrigé dans 1.16.1Quelqu'un pourrait lire des données qu'il ne devrait pas voir. Depuis n'importe où sur Internet, sans compte.
- GHSA-8r9p-f939-6h3cfollow-redirects sensitiveHeaders regex escaping can expose credential headers
- GHSA-q3jh-wrc6-jgq8follow-redirects array-form headers bypass cross-origin credential stripping
http-cache-semantics 4.2.01 failleQuelqu'un pourrait lire des données qu'il ne devrait pas voir. Depuis n'importe où sur Internet, sans compte.
- GHSA-ch52-4w7c-c8xphttp-cache-semantics max-stale handling can disclose cross-user cached responses
webpack-dev-middleware 7.4.51 faillecorrigé dans 7.4.6Quelqu'un pourrait lire des données qu'il ne devrait pas voir. Depuis n'importe où sur Internet, sans compte.
- GHSA-g84c-rxfj-3j2cwebpack-dev-middleware vulnerable to Path Traversal via non-slash-terminated publicPath
wheel 0.45.11 faillecorrigé dans 0.46.2Quelqu'un pourrait lire des données qu'il ne devrait pas voir. Seulement avec un accès à la machine.
- GHSA-8rrh-rw8j-w5fxWheel Affected by Arbitrary File Permission Modification via Path Traversal in wheel unpack
flask-cors 4.0.14 faillescorrigé dans 6.0.0Quelqu'un pourrait lire des données qu'il ne devrait pas voir. Depuis n'importe où sur Internet, sans compte.
- GHSA-43qf-4rqw-9q2gFlask-CORS vulnerable to Improper Handling of Case Sensitivity
- GHSA-hxwh-jpp2-84pmFlask-CORS allows the `Access-Control-Allow-Private-Network` CORS header to be set to true by default
- GHSA-7rxf-gvfg-47g4Flask-CORS improper regex path matching vulnerability
- GHSA-8vgw-p6qm-5gr7Flask-CORS allows for inconsistent CORS matching
werkzeug 3.0.36 faillescorrigé dans 3.1.9Quelqu'un pourrait lire des données qu'il ne devrait pas voir. Depuis n'importe où sur Internet, sans compte.
- GHSA-f9vj-2wh5-fj8jWerkzeug safe_join not safe on Windows
- GHSA-q34m-jh98-gwm2Werkzeug possible resource exhaustion when parsing file data in forms
- GHSA-29vq-49wr-vm6x Werkzeug safe_join() allows Windows special device names
- GHSA-87hc-h4r5-73f7 Werkzeug safe_join() allows Windows special device names with compound extensions
- GHSA-g6x2-hccm-hh4mWerkzeug safe_join() allows Windows special device names
- GHSA-hgf8-39gv-g3f2Werkzeug safe_join() allows Windows special device names
setuptools 80.9.02 faillescorrigé dans 84.1.0Quelqu'un pourrait lire des données qu'il ne devrait pas voir. Seulement avec un accès à la machine.
- GHSA-h35f-9h28-mq5csetuptools: MANIFEST.in exclusion bypass in sdist via Unicode normalization collision (NFC/NFD) on macOS APFS/HFS+
- GHSA-xmj3-9gf7-h52wsetuptools: Windows path escape via namespace_packages.txt during legacy wheel installation Description
joi 17.13.44 faillescorrigé dans 17.13.8Quelqu'un pourrait modifier des données ou des fichiers. Depuis n'importe où sur Internet, sans compte.
- GHSA-wr44-6hxh-3jwqjoi messages compilation allows prototype replacement through __proto__ error codes
- GHSA-6w3j-5fw6-r9vrjoi: Prototype pollution via a `__proto__` language key in custom messages
- GHSA-gg4h-3hg2-grpcjoi: object().rename() with a template target can set the validated object's prototype
- GHSA-6h2x-m376-mqjqjoi: Quadratic regular-expression backtracking in `Joi.string().isoDate()`
katex 0.16.471 faillecorrigé dans 0.18.2Quelqu'un pourrait modifier des données ou des fichiers. Depuis n'importe où sur Internet, sans compte.
- GHSA-238p-pmpm-9mq7KaTeX: Existing prototype pollution can bypass trust restrictions
svgo 3.3.42 faillescorrigé dans 3.3.5Quelqu'un pourrait attaquer les gens qui l'utilisent. Depuis n'importe où sur Internet, sans compte.
- GHSA-w27v-7q3p-w38rSVGO: removeScripts allows executable links through namespace and control-character bypasses
- GHSA-4vpr-x523-8j87SVGO: removeScripts incompletely sanitizes executable HTML in SVG foreignObject elements
body-parser 1.20.61 faillecorrigé dans 1.20.9Quelqu'un pourrait le faire planter ou le figer. Depuis n'importe où sur Internet, sans compte.
- GHSA-27r3-jxmh-p828body-parser vulnerable to Denial of Service via trailing bytes after a compressed request body
brace-expansion 1.1.156 faillescorrigé dans 1.1.21Quelqu'un pourrait le faire planter ou le figer. Depuis n'importe où sur Internet, sans compte.
- GHSA-3jxr-9vmj-r5cpbrace-expansion: DoS via exponential-time expansion of consecutive non-expanding {} groups
- GHSA-6j4f-fj2g-mc7pbrace-expansion: DoS via uncontrolled recursion in parseCommaParts causing stack exhaustion
- GHSA-mh99-v99m-4gvgbrace-expansion: DoS via unbounded expansion length causing an out-of-memory process crash
- GHSA-qhr7-859c-m2p7brace-expansion: DoS via uncontrolled recursion on nested brace groups causing stack exhaustion
- GHSA-rgw5-rvv9-x895brace-expansion: DoS via unbounded intermediate arrays, bypassing the CVE-2026-14257 mitigation
- GHSA-q2hr-2g5m-vwhrbrace-expansion: Quadratic-time expansion of the `{a},b}` rewrite causes CPU denial of service
image-size 2.0.22 faillescorrigé dans 2.0.3Quelqu'un pourrait le faire planter ou le figer. Depuis n'importe où sur Internet, sans compte.
- GHSA-5p2g-fcmc-qvqqimage-size: JXL and HEIF parsers allow denial of service through infinite loops
- GHSA-w3rx-r6r6-pgprimage-size: ICNS parser allows denial of service through an infinite loop
python-socketio 5.16.01 faillecorrigé dans 5.16.2Quelqu'un pourrait le faire planter ou le figer. Depuis n'importe où sur Internet, sans compte.
- GHSA-5w7q-77mv-v69fpython-socketio: Binary attachment accumulation can cause denial of service
msgpack 1.1.21 faillecorrigé dans 1.2.1Quelqu'un pourrait le faire planter ou le figer. Depuis n'importe où sur Internet, sans compte.
- GHSA-6v7p-g79w-8964MessagePack for Python: Out-of-bounds read / crash on Unpacker reuse after a caught error
python-engineio 4.12.22 faillescorrigé dans 4.13.2Quelqu'un pourrait le faire planter ou le figer. Depuis n'importe où sur Internet, sans compte.
- GHSA-cgwc-pv48-fhj5python-engineio has unbound thread allocation that can cause denial of service
- GHSA-m9gh-vj53-gvh9python-engineio has possible denial of service due to maximum payload size sometimes not being enforced
colord 2.9.31 faillecorrigé dans 2.9.4Quelqu'un pourrait le faire planter ou le figer. Depuis n'importe où sur Internet, sans compte.
- GHSA-2wm5-q62r-hmrvColord: Slow rejection of oversized malformed color strings
qs 6.15.32 faillescorrigé dans 6.16.0Quelqu'un pourrait le faire planter ou le figer. Depuis n'importe où sur Internet, sans compte.
- GHSA-4mjr-xmp4-gh2gqs: Denial of Service via Attacker Controlled isBuffer
- GHSA-x5fp-wj9c-mxmxqs array-limit bypass via bracket-key comma parsing
postcss-selector-parser 7.1.51 faillecorrigé dans 7.1.6Quelqu'un pourrait le faire planter ou le figer. Depuis n'importe où sur Internet, sans compte.
- GHSA-rj75-hqrm-r3gfPostCSS: Quadratic complexity in flat selector parsing allows CPU exhaustion
uuid 8.3.21 faillecorrigé dans 11.1.1Une faille dont l'effet n'est pas précisé. Depuis n'importe où sur Internet, sans compte.
- GHSA-w5hq-g745-h8pquuid: Missing buffer bounds check in v3/v5/v6 when buf is provided
flask 3.0.01 faillecorrigé dans 3.1.3Une faille dont l'effet n'est pas précisé. Depuis n'importe où sur Internet, sans compte.
- GHSA-68rp-wp8r-4726Flask session does not add `Vary: Cookie` header when accessed in some ways

Préviens-moi par email quand ça change

Un email pour confirmer, puis un seul quand la réponse empire ou qu'une nouvelle faille sérieuse apparaît : au plus un par jour, tout de suite si des attaquants l'utilisent. Un clic pour se désabonner.

Mets le badge dans ton README

Il affiche cette réponse et change avec elle.

[![immich-app/immich va bien ?](https://istheinternetok.com/r/immich-app/immich/badge.svg)](https://istheinternetok.com/r/immich-app/immich/)

Lu dans machine-learning/uv.lock, mobile/android/Gemfile.lock, mobile/ios/Runner.xcodeproj/project.xcworkspace/xcshareddata/swiftpm/Package.resolved, mobile/ios/Runner.xcworkspace/xcshareddata/swiftpm/Package.resolved, mobile/packages/ui/pubspec.lock, mobile/pubspec.lock, native/Cargo.lock, pnpm-lock.yaml, mobile/android/gradle/libs.versions.toml.