immich-app/immich 괜찮나요?

아니요.

공격자가 지금 쓰고 있는 결함이 있습니다.

내부: 테스트와 도구에 결함 79개, 어느 것도 사용자에게 닿지 않습니다.

17:05 UTC 확인커밋 256eb5516:51 UTC 기준 보안 권고

mobile/ios/Podfile.lock을(를) 읽지 못했습니다. 이 답은 저장소의 나머지 부분만 다룹니다.

mobile/android/gradle/libs.versions.toml에는 잠금 파일이 없습니다. 거기 적힌 버전만 확인했고, 그 버전들이 끌어오는 패키지는 확인하지 않았습니다.

X에 게시

업데이트할 것 13개

fastapi 업데이트공격자가 지금 쓰고 있어요누군가 보면 안 되는 데이터를 읽을 수 있습니다.
- starlette 0.50.0결함 5개1.3.1에서 수정됨공격자가 지금 쓰고 있어요
  영향이 명시되지 않은 결함입니다. 인터넷 어디서나, 계정 없이도.
  - GHSA-86qp-5c8j-p5mrStarlette has missing Host header validation that poisons request.url.path, bypassing path-based security checks
  - GHSA-wqp7-x3pw-xc5rStarlette: SSRF and NTLM credential theft via UNC paths in StaticFiles on Windows
  - GHSA-82w8-qh3p-5jfqStarlette: request.form() limits silently ignored for application/x-www-form-urlencoded enable DoS
  - GHSA-x746-7m8f-x49cStarlette: Arbitrary HTTP method dispatched to `HTTPEndpoint` attributes via `getattr`
  - GHSA-jp82-jpqv-5vv3Starlette: Unvalidated request path concatenated into authority poisons request.url.hostname
- anyio 4.2.0결함 2개4.14.2에서 수정됨
  누군가 이것을 다운시키거나 멈추게 할 수 있습니다. 기기에 접근할 수 있어야만.
  - GHSA-5p39-cfhj-2xmpAnyIO process-pool workers can block indefinitely on undrained stderr
  - GHSA-82r6-8w77-94w6AnyIO: TLSStream IDNA 2003 host name encoding enables potential TLS certificate spoofing
happy-dom 21.0.4(으)로 업데이트누군가 이것이 돌아가는 곳에서 자기 코드를 실행할 수 있습니다.
- happy-dom 21.0.3결함 1개21.0.4에서 수정됨
  누군가 이것이 돌아가는 곳에서 자기 코드를 실행할 수 있습니다. 인터넷 어디서나, 계정 없이도.
  - GHSA-834v-8h66-3h79Happy DOM: Incomplete fix for CVE-2026-33943: unsanitized import alias leads to host code execution
huggingface-hub 업데이트누군가 이것이 돌아가는 곳에서 자기 코드를 실행할 수 있습니다.
- fsspec 2023.12.2결함 1개2026.6.0에서 수정됨
  누군가 이것이 돌아가는 곳에서 자기 코드를 실행할 수 있습니다. 인터넷 어디서나, 계정 없이도.
  - GHSA-27vj-qcqg-25rcfsspec: Server-Side Template Injection in ReferenceFileSystem leads to Remote Code Execution

fastlane 업데이트누군가 보면 안 되는 데이터를 읽을 수 있습니다.
- rubyzip 2.3.2결함 1개3.4.0에서 수정됨
  누군가 보면 안 되는 데이터를 읽을 수 있습니다. 인터넷 어디서나, 계정 없이도.
  - GHSA-47m2-wp7j-p9vcrubyzip path traversal vulnerability
- faraday 1.10.3결함 2개1.10.6에서 수정됨
  누군가 보면 안 되는 데이터를 읽을 수 있습니다. 인터넷 어디서나, 계정 없이도.
  - GHSA-33mh-2634-fwr2Faraday affected by SSRF via protocol-relative URL host override in build_exclusive_url
  - GHSA-98m9-hrrm-r99rFaraday: Uncontrolled recursion in NestedParamsEncoder allows stack exhaustion DoS via deeply nested query parameters
- 3개 더 보기
  - jwt 2.8.1결함 1개2.10.3에서 수정됨
    누군가 다른 사용자를 사칭할 수 있습니다. 인터넷 어디서나, 계정 없이도.
    GHSA-c32j-vqhx-rx3xruby-jwt: Empty-key HMAC bypass; cross-language sibling of CVE-2026-44351
  - addressable 2.8.6결함 1개2.9.0에서 수정됨
    누군가 이것을 다운시키거나 멈추게 할 수 있습니다. 인터넷 어디서나, 계정 없이도.
    GHSA-h27x-rffw-24p4Addressable has a Regular Expression Denial of Service in Addressable templates
  - rexml 3.2.8결함 5개3.3.9에서 수정됨
    누군가 이것을 다운시키거나 멈추게 할 수 있습니다. 인터넷 어디서나, 계정 없이도.
    GHSA-vmwr-mc7x-5vc3REXML denial of service vulnerability
    GHSA-2rxp-v6pw-ch6mREXML ReDoS vulnerability
    GHSA-4xqq-m2hx-25v8REXML denial of service vulnerability
    GHSA-5866-49gr-22v4REXML DoS vulnerability
    GHSA-r55c-59qm-vjw6REXML DoS vulnerability
rapidocr 업데이트누군가 보면 안 되는 데이터를 읽을 수 있습니다.
- urllib3 2.6.2결함 6개2.8.0에서 수정됨
  누군가 보면 안 되는 데이터를 읽을 수 있습니다. 인터넷 어디서나, 계정 없이도.
  - GHSA-qccp-gfcp-xxvcurllib3: Sensitive headers forwarded across origins in proxied low-level redirects
  - GHSA-38jv-5279-wg99Decompression-bomb safeguards bypassed when following HTTP redirects (streaming API)
  - GHSA-mf9v-mfxr-j63jurllib3: Decompression-bomb safeguards bypassed in parts of the streaming API
  - GHSA-vxq7-64xx-v4gwurllib3: HTTPResponse.stream()/read_chunked() buffers an unbounded chunk-size line into memory
  - GHSA-gh4c-6fx4-qh6gurllib3: Chunked Deflate streaming can enter an infinite loop
  - GHSA-8988-9cw3-xx77urllib3: HTTPS proxy TLS configuration may be ignored or overridden
react-email 업데이트누군가 보면 안 되는 데이터를 읽을 수 있습니다.
- fast-uri 3.1.4결함 11개3.1.9에서 수정됨
  누군가 보면 안 되는 데이터를 읽을 수 있습니다. 인터넷 어디서나, 계정 없이도.
  - GHSA-f65p-4m7j-42xcfast-uri vulnerable to server-side request forgery via malformed IPv6 normalization
  - GHSA-fph4-wmhf-6fwffast-uri vulnerable to server-side request forgery via repeated hostname percent-decoding
  - GHSA-5jgf-p345-68v8fast-uri vulnerable to host confusion via skipped IDN canonicalization on scheme-relative references
  - GHSA-7p8r-x3mc-p8w7fast-uri vulnerable to host confusion via backslash authority introducer
  - GHSA-jqff-g426-hqxpfast-uri vulnerable to host confusion via percent-encoded scheme normalization
  - GHSA-qw65-cvwx-89v3fast-uri vulnerable to authority injection via an unvalidated port in serialize
  - GHSA-333x-w4r6-6crpfast-uri vulnerable to scheme injection via an unescaped first-segment colon in suffix references
  - GHSA-hrr3-gc8f-f4qjfast-uri vulnerable to inconsistent host case normalization via percent-encoded octets
  - GHSA-w74x-v6f9-j3xgfast-uri vulnerable to URI scheme spoofing via percent-encoded scheme decoding
  - GHSA-wjr9-j795-jxcrfast-uri vulnerable to host confusion via unchecked WHATWG host canonicalization
  - GHSA-xhq7-xmqj-769hfast-uri vulnerable to improper path equivalence in relative reference normalization
@immich/ui 업데이트누군가 이것을 다운시키거나 멈추게 할 수 있습니다.
- immutable 5.1.6결함 2개5.1.8에서 수정됨
  누군가 이것을 다운시키거나 멈추게 할 수 있습니다. 인터넷 어디서나, 계정 없이도.
  - GHSA-v56q-mh7h-f735Immutable.js `List` 32-bit trie overflow → unrecoverable DoS
  - GHSA-xvcm-6775-5m9rImmutable: Hash-collision algorithmic complexity denial of service in Immutable.Map/Set
bcrypt 업데이트누군가 이것을 다운시키거나 멈추게 할 수 있습니다.
- undici 8.11.2결함 3개8.12.2에서 수정됨
  누군가 데이터나 파일을 바꿀 수 있습니다. 인터넷 어디서나, 계정 없이도.
  - GHSA-f72v-6w45-q472undici vulnerable to Subresource Integrity bypass via non-lowercase algorithm tokens
  - GHSA-xjj6-f33q-929cundici vulnerable to Denial of Service via unhandled error on excessive content-encodings
  - GHSA-4qv8-2p9j-2685undici vulnerable to Denial of Service via unbounded memory in the EventSource parser
body-parser 2.4.0(으)로 업데이트누군가 이것을 다운시키거나 멈추게 할 수 있습니다.
- body-parser 2.3.0결함 1개2.4.0에서 수정됨
  누군가 이것을 다운시키거나 멈추게 할 수 있습니다. 인터넷 어디서나, 계정 없이도.
  - GHSA-27r3-jxmh-p828body-parser vulnerable to Denial of Service via trailing bytes after a compressed request body
immich-model 업데이트누군가 이것을 다운시키거나 멈추게 할 수 있습니다.
- protobuf 6.33.2결함 1개6.33.5에서 수정됨
  누군가 이것을 다운시키거나 멈추게 할 수 있습니다. 인터넷 어디서나, 계정 없이도.
  - GHSA-7gcm-g887-7qv7protobuf affected by a JSON recursion depth bypass
multer 2.5.0(으)로 업데이트누군가 이것을 다운시키거나 멈추게 할 수 있습니다.
- multer 2.4.0결함 1개2.5.0에서 수정됨
  누군가 이것을 다운시키거나 멈추게 할 수 있습니다. 인터넷 어디서나, 계정 없이도.
  - GHSA-q7qp-rjg7-q26mmulter vulnerable to Denial of Service via a pending asynchronous fileFilter after request teardown
socket.io-client 업데이트누군가 이것을 다운시키거나 멈추게 할 수 있습니다.
- ws 8.20.1결함 1개8.21.0에서 수정됨
  누군가 이것을 다운시키거나 멈추게 할 수 있습니다. 인터넷 어디서나, 계정 없이도.
  - GHSA-96hv-2xvq-fx4pws: Memory exhaustion DoS from tiny fragments and data chunks
zod 4.6.6(으)로 업데이트누군가 이것을 다운시키거나 멈추게 할 수 있습니다.
- zod 4.4.3결함 1개4.6.6에서 수정됨
  누군가 이것을 다운시키거나 멈추게 할 수 있습니다. 인터넷 어디서나, 계정 없이도.
  - GHSA-mrhx-c7xc-m3w5Zod can exhaust memory while validating oversized constrained collections

사용자에게 닿는 것

프로젝트가 배포하는 것에 결함 56개, 심각한 것부터.

사용자 데이터가 노출되거나 누군가 장악할 수 있음

fsspec 2023.12.2결함 1개2026.6.0에서 수정됨누군가 이것이 돌아가는 곳에서 자기 코드를 실행할 수 있습니다. 인터넷 어디서나, 계정 없이도.
- GHSA-27vj-qcqg-25rcfsspec: Server-Side Template Injection in ReferenceFileSystem leads to Remote Code Execution
happy-dom 21.0.3결함 1개21.0.4에서 수정됨누군가 이것이 돌아가는 곳에서 자기 코드를 실행할 수 있습니다. 인터넷 어디서나, 계정 없이도.
- GHSA-834v-8h66-3h79Happy DOM: Incomplete fix for CVE-2026-33943: unsanitized import alias leads to host code execution
rubyzip 2.3.2결함 1개3.4.0에서 수정됨누군가 보면 안 되는 데이터를 읽을 수 있습니다. 인터넷 어디서나, 계정 없이도.
- GHSA-47m2-wp7j-p9vcrubyzip path traversal vulnerability
fast-uri 3.1.4결함 11개3.1.9에서 수정됨누군가 보면 안 되는 데이터를 읽을 수 있습니다. 인터넷 어디서나, 계정 없이도.
- GHSA-f65p-4m7j-42xcfast-uri vulnerable to server-side request forgery via malformed IPv6 normalization
- GHSA-fph4-wmhf-6fwffast-uri vulnerable to server-side request forgery via repeated hostname percent-decoding
- GHSA-5jgf-p345-68v8fast-uri vulnerable to host confusion via skipped IDN canonicalization on scheme-relative references
- GHSA-7p8r-x3mc-p8w7fast-uri vulnerable to host confusion via backslash authority introducer
- GHSA-jqff-g426-hqxpfast-uri vulnerable to host confusion via percent-encoded scheme normalization
- GHSA-qw65-cvwx-89v3fast-uri vulnerable to authority injection via an unvalidated port in serialize
- GHSA-333x-w4r6-6crpfast-uri vulnerable to scheme injection via an unescaped first-segment colon in suffix references
- GHSA-hrr3-gc8f-f4qjfast-uri vulnerable to inconsistent host case normalization via percent-encoded octets
- GHSA-w74x-v6f9-j3xgfast-uri vulnerable to URI scheme spoofing via percent-encoded scheme decoding
- GHSA-wjr9-j795-jxcrfast-uri vulnerable to host confusion via unchecked WHATWG host canonicalization
- GHSA-xhq7-xmqj-769hfast-uri vulnerable to improper path equivalence in relative reference normalization
urllib3 2.6.2결함 6개2.8.0에서 수정됨누군가 보면 안 되는 데이터를 읽을 수 있습니다. 인터넷 어디서나, 계정 없이도.
- GHSA-qccp-gfcp-xxvcurllib3: Sensitive headers forwarded across origins in proxied low-level redirects
- GHSA-38jv-5279-wg99Decompression-bomb safeguards bypassed when following HTTP redirects (streaming API)
- GHSA-mf9v-mfxr-j63jurllib3: Decompression-bomb safeguards bypassed in parts of the streaming API
- GHSA-vxq7-64xx-v4gwurllib3: HTTPResponse.stream()/read_chunked() buffers an unbounded chunk-size line into memory
- GHSA-gh4c-6fx4-qh6gurllib3: Chunked Deflate streaming can enter an infinite loop
- GHSA-8988-9cw3-xx77urllib3: HTTPS proxy TLS configuration may be ignored or overridden

faraday 1.10.3결함 2개1.10.6에서 수정됨누군가 보면 안 되는 데이터를 읽을 수 있습니다. 인터넷 어디서나, 계정 없이도.
- GHSA-33mh-2634-fwr2Faraday affected by SSRF via protocol-relative URL host override in build_exclusive_url
- GHSA-98m9-hrrm-r99rFaraday: Uncontrolled recursion in NestedParamsEncoder allows stack exhaustion DoS via deeply nested query parameters
excon 0.110.0결함 1개1.5.0에서 수정됨누군가 보면 안 되는 데이터를 읽을 수 있습니다. 인터넷 어디서나, 계정 없이도.
- GHSA-48rx-c7pg-q66rExcon does not redact additional sensitive/risky headers when following redirects
esbuild 0.19.12결함 1개0.25.0에서 수정됨누군가 보면 안 되는 데이터를 읽을 수 있습니다. 인터넷 어디서나, 계정 없이도.
- GHSA-67mh-4wv8-2f99esbuild enables any website to send any requests to the development server and read the response
jwt 2.8.1결함 1개2.10.3에서 수정됨누군가 다른 사용자를 사칭할 수 있습니다. 인터넷 어디서나, 계정 없이도.
- GHSA-c32j-vqhx-rx3xruby-jwt: Empty-key HMAC bypass; cross-language sibling of CVE-2026-44351
undici 8.11.2결함 3개8.12.2에서 수정됨누군가 데이터나 파일을 바꿀 수 있습니다. 인터넷 어디서나, 계정 없이도.
- GHSA-f72v-6w45-q472undici vulnerable to Subresource Integrity bypass via non-lowercase algorithm tokens
- GHSA-xjj6-f33q-929cundici vulnerable to Denial of Service via unhandled error on excessive content-encodings
- GHSA-4qv8-2p9j-2685undici vulnerable to Denial of Service via unbounded memory in the EventSource parser
@sveltejs/kit 2.70.3결함 2개3.0.0에서 수정됨누군가 이것을 쓰는 사람들을 공격할 수 있습니다. 인터넷 어디서나, 계정 없이도.
- GHSA-pfhg-q3qv-9q6rSvelteKit: URL redirection to untrusted site via enhanced form submission
- GHSA-27mw-82g8-phjjSvelteKit : XSS via untrusted cache-control header in prerendered page
aws-sdk-s3 1.151.0결함 1개1.208.0에서 수정됨보호 장치가 있어야 할 수준보다 약합니다. 계정이 있어야만.
- GHSA-2xgq-q749-89fqAWS SDK for Ruby's S3 Encryption Client has a Key Commitment Issue

서비스가 멈추거나 느려질 수 있음

starlette 0.50.0결함 5개1.3.1에서 수정됨공격자가 지금 쓰고 있어요영향이 명시되지 않은 결함입니다. 인터넷 어디서나, 계정 없이도.
- GHSA-86qp-5c8j-p5mrStarlette has missing Host header validation that poisons request.url.path, bypassing path-based security checks
- GHSA-wqp7-x3pw-xc5rStarlette: SSRF and NTLM credential theft via UNC paths in StaticFiles on Windows
- GHSA-82w8-qh3p-5jfqStarlette: request.form() limits silently ignored for application/x-www-form-urlencoded enable DoS
- GHSA-x746-7m8f-x49cStarlette: Arbitrary HTTP method dispatched to `HTTPEndpoint` attributes via `getattr`
- GHSA-jp82-jpqv-5vv3Starlette: Unvalidated request path concatenated into authority poisons request.url.hostname
anyio 4.2.0결함 2개4.14.2에서 수정됨누군가 이것을 다운시키거나 멈추게 할 수 있습니다. 기기에 접근할 수 있어야만.
- GHSA-5p39-cfhj-2xmpAnyIO process-pool workers can block indefinitely on undrained stderr
- GHSA-82r6-8w77-94w6AnyIO: TLSStream IDNA 2003 host name encoding enables potential TLS certificate spoofing
body-parser 2.3.0결함 1개2.4.0에서 수정됨누군가 이것을 다운시키거나 멈추게 할 수 있습니다. 인터넷 어디서나, 계정 없이도.
- GHSA-27r3-jxmh-p828body-parser vulnerable to Denial of Service via trailing bytes after a compressed request body
protobuf 6.33.2결함 1개6.33.5에서 수정됨누군가 이것을 다운시키거나 멈추게 할 수 있습니다. 인터넷 어디서나, 계정 없이도.
- GHSA-7gcm-g887-7qv7protobuf affected by a JSON recursion depth bypass
ws 8.20.1결함 1개8.21.0에서 수정됨누군가 이것을 다운시키거나 멈추게 할 수 있습니다. 인터넷 어디서나, 계정 없이도.
- GHSA-96hv-2xvq-fx4pws: Memory exhaustion DoS from tiny fragments and data chunks

addressable 2.8.6결함 1개2.9.0에서 수정됨누군가 이것을 다운시키거나 멈추게 할 수 있습니다. 인터넷 어디서나, 계정 없이도.
- GHSA-h27x-rffw-24p4Addressable has a Regular Expression Denial of Service in Addressable templates
zod 4.4.3결함 1개4.6.6에서 수정됨누군가 이것을 다운시키거나 멈추게 할 수 있습니다. 인터넷 어디서나, 계정 없이도.
- GHSA-mrhx-c7xc-m3w5Zod can exhaust memory while validating oversized constrained collections
multer 2.4.0결함 1개2.5.0에서 수정됨누군가 이것을 다운시키거나 멈추게 할 수 있습니다. 인터넷 어디서나, 계정 없이도.
- GHSA-q7qp-rjg7-q26mmulter vulnerable to Denial of Service via a pending asynchronous fileFilter after request teardown
immutable 5.1.6결함 2개5.1.8에서 수정됨누군가 이것을 다운시키거나 멈추게 할 수 있습니다. 인터넷 어디서나, 계정 없이도.
- GHSA-v56q-mh7h-f735Immutable.js `List` 32-bit trie overflow → unrecoverable DoS
- GHSA-xvcm-6775-5m9rImmutable: Hash-collision algorithmic complexity denial of service in Immutable.Map/Set
rexml 3.2.8결함 5개3.3.9에서 수정됨누군가 이것을 다운시키거나 멈추게 할 수 있습니다. 인터넷 어디서나, 계정 없이도.
- GHSA-vmwr-mc7x-5vc3REXML denial of service vulnerability
- GHSA-2rxp-v6pw-ch6mREXML ReDoS vulnerability
- GHSA-4xqq-m2hx-25v8REXML denial of service vulnerability
- GHSA-5866-49gr-22v4REXML DoS vulnerability
- GHSA-r55c-59qm-vjw6REXML DoS vulnerability
idna 3.11결함 1개3.15에서 수정됨누군가 이것을 다운시키거나 멈추게 할 수 있습니다. 인터넷 어디서나, 계정 없이도.
- GHSA-65pc-fj4g-8rjxInternationalized Domain Names in Applications (IDNA): Specially crafted inputs to idna.encode() can bypass CVE-2024-3651 fix
postcss-selector-parser 6.1.4결함 1개7.1.6에서 수정됨누군가 이것을 다운시키거나 멈추게 할 수 있습니다. 인터넷 어디서나, 계정 없이도.
- GHSA-rj75-hqrm-r3gfPostCSS: Quadratic complexity in flat selector parsing allows CPU exhaustion
filelock 3.20.1결함 1개3.20.3에서 수정됨누군가 이것을 다운시키거나 멈추게 할 수 있습니다. 기기에 접근할 수 있어야만.
- GHSA-qmgc-5h2g-mvrwfilelock Time-of-Check-Time-of-Use (TOCTOU) Symlink Vulnerability in SoftFileLock
pygments 2.17.2결함 1개2.20.0에서 수정됨누군가 이것을 다운시키거나 멈추게 할 수 있습니다. 기기에 접근할 수 있어야만.
- GHSA-5239-wwwm-4pmqPygments has Regular Expression Denial of Service (ReDoS) due to Inefficient Regex for GUID Matching
cookie 0.6.0결함 1개0.7.0에서 수정됨영향이 명시되지 않은 결함입니다.
- GHSA-pxg6-pf52-xh8xcookie accepts cookie name, path, and domain with out of bounds characters

내부 전용

개발 도구, 테스트, 예제, 문서, 벤치마크: 사용자에게 닿지 않으므로 답에는 넣지 않습니다.

tinypool 1.1.1결함 2개2.1.2에서 수정됨누군가 이것이 돌아가는 곳에서 자기 코드를 실행할 수 있습니다. 인터넷 어디서나, 계정 없이도.
- GHSA-85c8-ppgw-ccprTinypool: Prototype Pollution Gadget to RCE in run() options
- GHSA-5gmw-xhrv-c9v3Tinypool: Prototype Pollution gadget in worker options leads to Remote Code Execution
brotli 1.1.0결함 2개1.2.1에서 수정됨누군가 이것이 돌아가는 곳에서 자기 코드를 실행할 수 있습니다. 인터넷 어디서나, 계정 없이도.
- GHSA-9v8h-qqgm-4m35Brotli: Out-of-bounds write in the Brotli decoder ("Node2Shell") also affects the PyPI Brotli package
- GHSA-2qfp-q593-8484Scrapy is vulnerable to a denial of service (DoS) attack due to flaws in brotli decompression implementation
shell-quote 1.10.0결함 1개1.11.0에서 수정됨누군가 이것이 돌아가는 곳에서 자기 코드를 실행할 수 있습니다. 인터넷 어디서나, 계정 없이도.
- GHSA-pqg4-j6r4-53mvshell-quote: `quote()` command injection via a line terminator in a token after a `{ comment }` token
tar 6.2.1결함 12개7.5.21에서 수정됨누군가 보면 안 되는 데이터를 읽을 수 있습니다. 인터넷 어디서나, 계정 없이도.
- GHSA-34x7-hfp2-rc4vnode-tar Vulnerable to Arbitrary File Creation/Overwrite via Hardlink Path Traversal
- GHSA-83g3-92jg-28cxArbitrary File Read/Write via Hardlink Target Escape Through Symlink Chain in node-tar Extraction
- GHSA-8qq5-rm4j-mr97node-tar is Vulnerable to Arbitrary File Overwrite and Symlink Poisoning via Insufficient Path Sanitization
- GHSA-9ppj-qmqm-q256node-tar Symlink Path Traversal via Drive-Relative Linkpath
- GHSA-qffp-2rhf-9h96tar has Hardlink Path Traversal via Drive-Relative Linkpath
- GHSA-r6q2-hw4h-h46wRace Condition in node-tar Path Reservations via Unicode Ligature Collisions on macOS APFS
- GHSA-vmf3-w455-68vhnode-tar applies PAX size override to intermediary GNU long-name/long-link headers, causing tar parser interpretation differential (file smuggling)
- GHSA-23hp-3jrh-7fpwnode-tar: Decompression/parse DoS via unlimited input
- GHSA-8x88-c5mf-7j5wnode-tar: Negative tar entry size causes infinite loop in archive replace
- GHSA-r292-9mhp-454mnode-tar: Uncontrolled recursion in mapHas/filesFilter allows uncatchable stack-overflow DoS via crafted long-path tar with member selection
- GHSA-gvwx-54wh-qm9jnode-tar: Uncaught Exception DoS via NUL byte in PAX path/linkpath records
- GHSA-w8wr-v893-vjvpnode-tar: Process crash via PAX numeric path type confusion
dompurify 3.4.12결함 5개3.4.17에서 수정됨누군가 이것을 쓰는 사람들을 공격할 수 있습니다. 인터넷 어디서나, 계정 없이도.
- GHSA-cg2g-xh64-v4q7DOMPurify SAFE_FOR_TEMPLATES bypass: split template expressions survive in attached shadow root content on DOM output modes
- GHSA-mrv2-3pqr-j5jrDOMPurify IN_PLACE: hook that removes a parent or sibling leaves the detached subtree's event handlers armed (incomplete fix for GHSA-p98j-92pf-mc4p)
- GHSA-55q2-fjhq-7xh7DOMPurify: IN_PLACE hook removal leaves a detached subtree executable, causing XSS
- GHSA-6688-9rhm-gjv2DOMPurify: IN_PLACE returns a force-removed rawtext root whose text carries attacker markup — pure HTML reparse executes
- GHSA-c6gr-qvv4-5v3fDOMPurify: SMIL attributeName=href guard is skipped when PARSER_MEDIA_TYPE is application/xhtml+xml
launch-editor 2.14.1결함 3개2.14.2에서 수정됨누군가 이것이 돌아가는 곳에서 자기 코드를 실행할 수 있습니다. 인터넷 어디서나, 계정 없이도.
- GHSA-587h-7wmj-h5pmlaunch-editor: `fs.existsSync()` existence check can be bypassed on Windows
- GHSA-698v-4r3x-3vcvlaunch-editor: escapeCmdArgs() omits % escaping on Windows
- GHSA-r825-w8mm-5pxwlaunch-editor: Editor CLI flag misinterpretation causing arbitrary command execution for some editors
serialize-javascript 6.0.2결함 3개7.1.3에서 수정됨누군가 이것이 돌아가는 곳에서 자기 코드를 실행할 수 있습니다. 인터넷 어디서나, 계정 없이도.
- GHSA-5c6j-r48x-rmvqSerialize JavaScript is Vulnerable to RCE via RegExp.flags and Date.prototype.toISOString()
- GHSA-m5mm-p8h7-m29vSerialize JavaScript: Cross-site scripting (XSS) via unescaped </script at the end of a serialized function body
- GHSA-qj8w-gfj5-8c6vSerialize JavaScript has CPU Exhaustion Denial of Service via crafted array-like objects
mermaid 11.16.0결함 5개11.16.1에서 수정됨누군가 이것이 돌아가는 곳에서 자기 코드를 실행할 수 있습니다. 인터넷 어디서나, 계정 없이도.
- GHSA-6x64-9x62-f2gxMermaid allows CSS injection applying to sibling elements of the diagram
- GHSA-3rrr-jr9j-h3q3Mermaid Architecture diagrams are vulnerable to prototype pollution
- GHSA-c4c3-pg64-4m4vMermaid configuration APIs allow prototype pollution
- GHSA-2v8p-3f2j-5mp7Mermaid XY Charts are vulnerable to an infinite loop DoS
- GHSA-rhh3-jpg6-66xhMermaid radar diagrams are vulnerable to DoS
jinja2 3.1.4결함 3개3.1.6에서 수정됨누군가 이것이 돌아가는 곳에서 자기 코드를 실행할 수 있습니다. 기기에 접근할 수 있어야만.
- GHSA-cpwx-vrp4-4pq7Jinja2 vulnerable to sandbox breakout through attr filter selecting format method
- GHSA-gmj6-6f8f-6699Jinja has a sandbox breakout through malicious filenames
- GHSA-q2x7-8rv6-6q7hJinja has a sandbox breakout through indirect reference to format method
follow-redirects 1.16.0결함 2개1.16.1에서 수정됨누군가 보면 안 되는 데이터를 읽을 수 있습니다. 인터넷 어디서나, 계정 없이도.
- GHSA-8r9p-f939-6h3cfollow-redirects sensitiveHeaders regex escaping can expose credential headers
- GHSA-q3jh-wrc6-jgq8follow-redirects array-form headers bypass cross-origin credential stripping
http-cache-semantics 4.2.0결함 1개누군가 보면 안 되는 데이터를 읽을 수 있습니다. 인터넷 어디서나, 계정 없이도.
- GHSA-ch52-4w7c-c8xphttp-cache-semantics max-stale handling can disclose cross-user cached responses
webpack-dev-middleware 7.4.5결함 1개7.4.6에서 수정됨누군가 보면 안 되는 데이터를 읽을 수 있습니다. 인터넷 어디서나, 계정 없이도.
- GHSA-g84c-rxfj-3j2cwebpack-dev-middleware vulnerable to Path Traversal via non-slash-terminated publicPath
wheel 0.45.1결함 1개0.46.2에서 수정됨누군가 보면 안 되는 데이터를 읽을 수 있습니다. 기기에 접근할 수 있어야만.
- GHSA-8rrh-rw8j-w5fxWheel Affected by Arbitrary File Permission Modification via Path Traversal in wheel unpack
flask-cors 4.0.1결함 4개6.0.0에서 수정됨누군가 보면 안 되는 데이터를 읽을 수 있습니다. 인터넷 어디서나, 계정 없이도.
- GHSA-43qf-4rqw-9q2gFlask-CORS vulnerable to Improper Handling of Case Sensitivity
- GHSA-hxwh-jpp2-84pmFlask-CORS allows the `Access-Control-Allow-Private-Network` CORS header to be set to true by default
- GHSA-7rxf-gvfg-47g4Flask-CORS improper regex path matching vulnerability
- GHSA-8vgw-p6qm-5gr7Flask-CORS allows for inconsistent CORS matching
werkzeug 3.0.3결함 6개3.1.9에서 수정됨누군가 보면 안 되는 데이터를 읽을 수 있습니다. 인터넷 어디서나, 계정 없이도.
- GHSA-f9vj-2wh5-fj8jWerkzeug safe_join not safe on Windows
- GHSA-q34m-jh98-gwm2Werkzeug possible resource exhaustion when parsing file data in forms
- GHSA-29vq-49wr-vm6x Werkzeug safe_join() allows Windows special device names
- GHSA-87hc-h4r5-73f7 Werkzeug safe_join() allows Windows special device names with compound extensions
- GHSA-g6x2-hccm-hh4mWerkzeug safe_join() allows Windows special device names
- GHSA-hgf8-39gv-g3f2Werkzeug safe_join() allows Windows special device names
setuptools 80.9.0결함 2개84.1.0에서 수정됨누군가 보면 안 되는 데이터를 읽을 수 있습니다. 기기에 접근할 수 있어야만.
- GHSA-h35f-9h28-mq5csetuptools: MANIFEST.in exclusion bypass in sdist via Unicode normalization collision (NFC/NFD) on macOS APFS/HFS+
- GHSA-xmj3-9gf7-h52wsetuptools: Windows path escape via namespace_packages.txt during legacy wheel installation Description
joi 17.13.4결함 4개17.13.8에서 수정됨누군가 데이터나 파일을 바꿀 수 있습니다. 인터넷 어디서나, 계정 없이도.
- GHSA-wr44-6hxh-3jwqjoi messages compilation allows prototype replacement through __proto__ error codes
- GHSA-6w3j-5fw6-r9vrjoi: Prototype pollution via a `__proto__` language key in custom messages
- GHSA-gg4h-3hg2-grpcjoi: object().rename() with a template target can set the validated object's prototype
- GHSA-6h2x-m376-mqjqjoi: Quadratic regular-expression backtracking in `Joi.string().isoDate()`
katex 0.16.47결함 1개0.18.2에서 수정됨누군가 데이터나 파일을 바꿀 수 있습니다. 인터넷 어디서나, 계정 없이도.
- GHSA-238p-pmpm-9mq7KaTeX: Existing prototype pollution can bypass trust restrictions
svgo 3.3.4결함 2개3.3.5에서 수정됨누군가 이것을 쓰는 사람들을 공격할 수 있습니다. 인터넷 어디서나, 계정 없이도.
- GHSA-w27v-7q3p-w38rSVGO: removeScripts allows executable links through namespace and control-character bypasses
- GHSA-4vpr-x523-8j87SVGO: removeScripts incompletely sanitizes executable HTML in SVG foreignObject elements
body-parser 1.20.6결함 1개1.20.9에서 수정됨누군가 이것을 다운시키거나 멈추게 할 수 있습니다. 인터넷 어디서나, 계정 없이도.
- GHSA-27r3-jxmh-p828body-parser vulnerable to Denial of Service via trailing bytes after a compressed request body
brace-expansion 1.1.15결함 6개1.1.21에서 수정됨누군가 이것을 다운시키거나 멈추게 할 수 있습니다. 인터넷 어디서나, 계정 없이도.
- GHSA-3jxr-9vmj-r5cpbrace-expansion: DoS via exponential-time expansion of consecutive non-expanding {} groups
- GHSA-6j4f-fj2g-mc7pbrace-expansion: DoS via uncontrolled recursion in parseCommaParts causing stack exhaustion
- GHSA-mh99-v99m-4gvgbrace-expansion: DoS via unbounded expansion length causing an out-of-memory process crash
- GHSA-qhr7-859c-m2p7brace-expansion: DoS via uncontrolled recursion on nested brace groups causing stack exhaustion
- GHSA-rgw5-rvv9-x895brace-expansion: DoS via unbounded intermediate arrays, bypassing the CVE-2026-14257 mitigation
- GHSA-q2hr-2g5m-vwhrbrace-expansion: Quadratic-time expansion of the `{a},b}` rewrite causes CPU denial of service
image-size 2.0.2결함 2개2.0.3에서 수정됨누군가 이것을 다운시키거나 멈추게 할 수 있습니다. 인터넷 어디서나, 계정 없이도.
- GHSA-5p2g-fcmc-qvqqimage-size: JXL and HEIF parsers allow denial of service through infinite loops
- GHSA-w3rx-r6r6-pgprimage-size: ICNS parser allows denial of service through an infinite loop
python-socketio 5.16.0결함 1개5.16.2에서 수정됨누군가 이것을 다운시키거나 멈추게 할 수 있습니다. 인터넷 어디서나, 계정 없이도.
- GHSA-5w7q-77mv-v69fpython-socketio: Binary attachment accumulation can cause denial of service
msgpack 1.1.2결함 1개1.2.1에서 수정됨누군가 이것을 다운시키거나 멈추게 할 수 있습니다. 인터넷 어디서나, 계정 없이도.
- GHSA-6v7p-g79w-8964MessagePack for Python: Out-of-bounds read / crash on Unpacker reuse after a caught error
python-engineio 4.12.2결함 2개4.13.2에서 수정됨누군가 이것을 다운시키거나 멈추게 할 수 있습니다. 인터넷 어디서나, 계정 없이도.
- GHSA-cgwc-pv48-fhj5python-engineio has unbound thread allocation that can cause denial of service
- GHSA-m9gh-vj53-gvh9python-engineio has possible denial of service due to maximum payload size sometimes not being enforced
colord 2.9.3결함 1개2.9.4에서 수정됨누군가 이것을 다운시키거나 멈추게 할 수 있습니다. 인터넷 어디서나, 계정 없이도.
- GHSA-2wm5-q62r-hmrvColord: Slow rejection of oversized malformed color strings
qs 6.15.3결함 2개6.16.0에서 수정됨누군가 이것을 다운시키거나 멈추게 할 수 있습니다. 인터넷 어디서나, 계정 없이도.
- GHSA-4mjr-xmp4-gh2gqs: Denial of Service via Attacker Controlled isBuffer
- GHSA-x5fp-wj9c-mxmxqs array-limit bypass via bracket-key comma parsing
postcss-selector-parser 7.1.5결함 1개7.1.6에서 수정됨누군가 이것을 다운시키거나 멈추게 할 수 있습니다. 인터넷 어디서나, 계정 없이도.
- GHSA-rj75-hqrm-r3gfPostCSS: Quadratic complexity in flat selector parsing allows CPU exhaustion
uuid 8.3.2결함 1개11.1.1에서 수정됨영향이 명시되지 않은 결함입니다. 인터넷 어디서나, 계정 없이도.
- GHSA-w5hq-g745-h8pquuid: Missing buffer bounds check in v3/v5/v6 when buf is provided
flask 3.0.0결함 1개3.1.3에서 수정됨영향이 명시되지 않은 결함입니다. 인터넷 어디서나, 계정 없이도.
- GHSA-68rp-wp8r-4726Flask session does not add `Vary: Cookie` header when accessed in some ways

바뀌면 이메일로 알려 주세요

확인용 이메일 한 통을 보낸 뒤, 답이 나빠지거나 새로운 심각한 결함이 생길 때만 보냅니다. 하루에 많아야 한 통, 공격에 쓰이고 있으면 바로 보냅니다. 수신 거부는 클릭 한 번.

README에 배지 넣기

이 답을 보여 주고, 답이 바뀌면 함께 바뀝니다.

[![immich-app/immich 괜찮나요?](https://istheinternetok.com/r/immich-app/immich/badge.svg)](https://istheinternetok.com/r/immich-app/immich/)

읽은 파일: machine-learning/uv.lock, mobile/android/Gemfile.lock, mobile/ios/Runner.xcodeproj/project.xcworkspace/xcshareddata/swiftpm/Package.resolved, mobile/ios/Runner.xcworkspace/xcshareddata/swiftpm/Package.resolved, mobile/packages/ui/pubspec.lock, mobile/pubspec.lock, native/Cargo.lock, pnpm-lock.yaml, mobile/android/gradle/libs.versions.toml.