Lưu ý: Dữ liệu này chỉ có tính chất tham khảo, phục vụ nghiên cứu an ninh mạng.CyStack khuyến nghị người dùng không sử dụng các thông tin này nhằm các mục đích bất hợp pháp
Lỗ hổng CVE-2026-82985 là lỗ hổng Improper Access Control ảnh hưởng tới Server (phiên bản bị ảnh hưởng: 32.0.0 – < 32.0.0). Lỗ hổng này được xếp hạng ở mức Trung bình, với điểm CVSS 6.5. Các nguồn hiện có chưa ghi nhận lỗ hổng này bị khai thác.
Ứng dụng Photos sử dụng bộ lọc, gồm các "smart album", xây dựng danh sách tệp bằng cấu hình tìm kiếm (photosSourceFolders) của người dùng đang xem album thay vì cấu hình của chủ album. Khi chủ album chia sẻ một smart album với người dùng khác, cấu hình thư mục riêng của người dùng đó được dùng để xác định những tệp của chủ album sẽ được tìm kiếm, cho phép họ phát hiện các tệp, gồm tên, file ID và metadata khác, trong những thư mục mà chủ album không bao giờ dự định đưa vào smart album được chia sẻ. Điều này yêu cầu chủ album đã chia sẻ một filter-based smart album với kẻ tấn công; nếu không có việc chia sẻ đó, lỗi không cho phép truy cập vào các tệp tùy ý của người dùng khác.
32.0.0 là bị ảnh hưởng theo semver. Trạng thái mặc định được ghi là unaffected đối với các phiên bản không nằm trong điều kiện này.32.0.0 hoặc bất kỳ phiên bản mới hơn nào đều là bản sửa lỗi cho mọi nhánh.32.0.12, nhưng không gán phạm vi đó riêng cho lỗi này. Tình trạng ảnh hưởng của nhánh 32.0.x và các nhánh song song hoặc mới hơn vẫn cần được xác minh theo advisory hoặc bản vá tương ứng.Trong ứng dụng Photos của Nextcloud Server, smart album dựa trên bộ lọc tạo danh sách tệp bằng cấu hình tìm kiếm photosSourceFolders của người đang xem album, thay vì cấu hình của chủ album. Khi chủ album chia sẻ smart album với người dùng khác, cấu hình thư mục của người nhận trở thành phạm vi tìm kiếm đối với các tệp của chủ album. Người nhận có thể phát hiện tên tệp, file ID và metadata khác từ các thư mục mà chủ album không định đưa vào album chia sẻ.
Luồng ảnh hưởng được mô tả ở mức cao như sau:
photosSourceFolders của người nhận được dùng để xác định các tệp của chủ album cần tìm.CWE được cung cấp là CWE-284, Improper Access Control. Bản ghi mô tả việc khai thác qua mạng và yêu cầu người dùng có quyền truy cập thấp, nhưng không cung cấp tên endpoint, vị trí mã nguồn hoặc chi tiết request cụ thể.
Lỗi có thể bị khai thác qua mạng bởi người dùng đã được cấp quyền truy cập thấp vào smart album được chia sẻ. Điều kiện bắt buộc là chủ album phải chia sẻ một filter-based smart album với người dùng đó; lỗi không cho phép truy cập tùy ý vào tệp của những người dùng khác nếu chưa có việc chia sẻ này.
Sau khi album đã được chia sẻ, bản ghi không yêu cầu thêm tương tác người dùng nào để người nhận xem phạm vi kết quả không đúng. Bản ghi được cung cấp không ghi nhận public exploit, còn thông tin làm giàu hiện tại ghi nhận exploitation là none và automatable là no. Các trạng thái này không chứng minh rằng không có hành vi lạm dụng chưa được phát hiện.
Kết quả kỹ thuật được xác nhận là người nhận smart album có thể phát hiện metadata của các tệp thuộc chủ album nhưng nằm ngoài phạm vi mà chủ album dự kiến tìm kiếm. Tác động chính là mất tính bí mật của tên tệp, file ID và metadata khác được đưa vào kết quả.
Lỗi không được mô tả là cho phép sửa đổi hoặc xóa tệp, và bằng chứng hiện có không xác nhận khả năng đọc nội dung tệp. Phạm vi ảnh hưởng vẫn phụ thuộc vào việc chủ album đã chia sẻ filter-based smart album với người dùng có thể quan sát kết quả. Vì vậy, rủi ro tổ chức tập trung vào việc lộ thông tin và suy giảm hiệu lực của cơ chế chia sẻ, không phải vào việc chiếm quyền quản trị hoặc làm gián đoạn dịch vụ.
Lỗi có thể làm lộ metadata của tệp ngoài phạm vi chia sẻ dự kiến, làm suy yếu tính bảo mật của các album và thư mục riêng tư. Metadata bị lộ có thể gồm tên tệp, file ID và thông tin khác do kết quả tìm kiếm trả về; bằng chứng hiện có không xác nhận rằng người nhận có thể tải xuống hoặc đọc nội dung tệp chỉ nhờ lỗi này.
Tác động thực tế phụ thuộc vào việc tổ chức có sử dụng Photos, filter-based smart album và chia sẻ các album đó cho người dùng khác hay không. Sự cố có thể làm lộ cấu trúc thư mục, sự tồn tại của tài liệu hoặc thông tin mô tả tệp cho người nhận vốn không được phép thấy phạm vi đó. Bản ghi không mô tả tác động đến tính toàn vẹn hoặc tính sẵn sàng của dữ liệu.
32.0.0 hay không, vì đó là phạm vi affected được nêu trong dữ liệu CVE.32.0.12, nhưng không ánh xạ phạm vi đó riêng cho lỗi này. Vì vậy, cần xác minh trực tiếp theo bản vá và nhánh phát hành trước khi kết luận về các phiên bản 32.0.x hoặc mới hơn.Giải pháp CyStack VulnScan liên tục phát hiện tài sản, xác minh lỗ hổng và giúp đội ngũ bảo mật ưu tiên khắc phục cho toàn bộ doanh nghiệp.
vi
