CVE-2017-10682
KrytyczneStreszczenie
W Piwigo do wersji 2.9.1 występuje podatność na wstrzykiwanie SQL w panelu administracyjnym, która pozwala zdalnym użytkownikom na wykonywanie dowolnych poleceń SQL poprzez parametry cat_false lub cat_true na stronie komentarzy lub statusu w pliku cat_options.php.
Ocena ryzyka
Podatność ta może prowadzić do nieautoryzowanego dostępu do bazy danych oraz ujawnienia wrażliwych informacji, co stanowi poważne zagrożenie dla bezpieczeństwa organizacji.
Rekomendacja
Zaleca się aktualizację Piwigo do najnowszej wersji, aby usunąć tę podatność oraz wprowadzenie dodatkowych środków zabezpieczających, takich jak filtrowanie danych wejściowych.
Oryginalny opis (angielski, źródło NVD)
SQL injection vulnerability in the administrative backend in Piwigo through 2.9.1 allows remote users to execute arbitrary SQL commands via the cat_false or cat_true parameter in the comments or status page to cat_options.php.