CVE-2017-17827
WysokieStreszczenie
Piwigo w wersji 2.9.2 jest podatny na atak typu Cross-Site Request Forgery (CSRF) poprzez określone parametry w URL. Atakujący może zmusić użytkownika z uprawnieniami administratora do wykonania niezamierzonych działań.
Ocena ryzyka
Wykorzystanie tej podatności może prowadzić do nieautoryzowanych zmian w konfiguracji systemu przez administratorów, co zagraża integralności i bezpieczeństwu aplikacji.
Rekomendacja
Zaleca się aktualizację Piwigo do najnowszej wersji, która eliminuje tę podatność oraz wdrożenie dodatkowych mechanizmów ochrony przed atakami CSRF.
Inne podatności w Piwigo 2.9.2
Zobacz wszystkie- CVE-2017-17774Wysokie
W pliku admin/configuration.php w Piwigo w wersji 2.9.2 występuje podatność typu CSRF (Cross-Site Request Forgery). Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych działań w imieniu zalogowanego użytkownika.
- CVE-2017-10681Wysokie
W podatności CVE-2017-10681 w Piwigo do wersji 2.9.1 występuje luka CSRF, która pozwala zdalnym atakującym na przejęcie uwierzytelnienia użytkowników w celu odblokowania albumów za pomocą spreparowanego żądania.
- CVE-2017-10680Wysokie
W podatności CVE-2017-10680 w Piwigo do wersji 2.9.1 występuje luka CSRF, która pozwala zdalnym atakującym na przejęcie uwierzytelnienia użytkowników w celu zmiany prywatnego albumu na publiczny za pomocą spreparowanego żądania.
- CVE-2017-10679Wysokie
Piwigo w wersjach do 2.9.1 umożliwia zdalnym atakującym uzyskanie wrażliwych informacji o nazwie opisowej permalinku poprzez analizę URL przekierowania zwracanego w odpowiedzi na żądanie numeru ID permalinku prywatnego albumu. Numery ID permalinków są łatwe do odgadnięcia.
- CVE-2017-10678Wysokie
W podatności CSRF w Piwigo do wersji 2.9.1, zdalni atakujący mogą przejąć uwierzytelnienie użytkowników w celu usunięcia permalinków za pomocą spreparowanego żądania.
- CVE-2016-10084Wysokie
W pliku admin/batch_manager.php w Piwigo do wersji 2.8.3 istnieje podatność, która pozwala zdalnie uwierzytelnionym administratorom przeprowadzać ataki typu File Inclusion za pomocą zmiennej $page['tab'] (znanej jako parametr mode).
- CVE-2015-1441Wysokie
W Piwigo przed wersją 2.5.6, 2.6.x przed 2.6.5 oraz 2.7.x przed 2.7.3 występuje podatność na wstrzykiwanie SQL, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez nieokreślone wektory.
- CVE-2014-9115Wysokie
Podatność SQL injection w funkcji rate_picture w Piwigo przed wersją 2.5.5, 2.6.x przed 2.6.4 oraz 2.7.x przed 2.7.2 pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametr rate w picture.php, związana z niewłaściwym typem danych w porównaniu wartości nienumerycznej zaczynającej się od cyfry.
- CVE-2014-4648Wysokie
Nieokreślona podatność w Piwigo przed wersją 2.6.3, która ma nieznany wpływ i wektory ataku, związana z 'awarią bezpieczeństwa'.
- CVE-2026-35048Krytyczne
Podatność w instalatorze Piwigo w wersjach 16.3.0 i starszych pozwala na wstrzyknięcie kodu PHP przez parametry POST konfiguracji bazy danych. Brak odpowiedniego oczyszczania danych wejściowych oraz ominięcie funkcji `addslashes()` na PHP 8+ umożliwia nieuwierzytelnionemu atakującemu zapisanie złośliwego kodu do pliku konfiguracyjnego, który jest wykonywany przy każdym ładowaniu strony.
Oryginalny opis (angielski, źródło NVD)
Piwigo 2.9.2 is vulnerable to Cross-Site Request Forgery via /admin.php?page=configuration§ion=main or /admin.php?page=batch_manager&mode=unit. An attacker can exploit this to coerce an admin user into performing unintended actions.