CVE-2026-104051

WysokieCVSS 8.2

Opublikowano: 01/10/2026(UTC)Zaktualizowano: 06/10/2026(UTC)Przetłumaczono: 02/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.37%

Percentyl 29 - wyżej niż 29% wszystkich znanych CVE

Streszczenie

PictShare w wersji przed 3.7.1 zawiera podatność ujawnienia informacji, która pozwala nieuwierzytelnionemu atakującemu uzyskać tajny kod delete_code oraz metadane uploadera przez wywołanie endpointu API::info(). Endpoint zwraca pełny surowy obiekt metadanych bez białej listy pól.

Ocena ryzyka

Atakujący może użyć publicznie widocznego hasha pliku, aby pobrać delete_code i trwale usunąć dowolne pliki, a także poznać adres IP uploadera, User Agent, port zdalny i hash SHA-1, co prowadzi do utraty integralności i dostępności treści oraz naruszenia prywatności.

Rekomendacja

Zaktualizuj PictShare do wersji 3.7.1 lub nowszej. Do czasu aktualizacji ogranicz dostęp do endpointu API::info() i rozważ wyłączenie publicznego udostępniania plików.

Inne podatności w PictShare

CVE-2026-104356Średnie
PictShare przed wersją 3.7.1 zawiera podatność związaną ze słabą losowością, gdzie funkcja getRandomString() używa niekryptograficznego generatora liczb pseudolosowych rand() do generowania tokenu autoryzacyjnego delete_code w src/inc/core.php. Atakujący mogą przewidzieć lub wywnioskować stan PRNG, aby zgadnąć prawidłowe wartości delete_code i przeprowadzić nieautoryzowane usuwanie hostowanych plików bez konieczności odczytu kodu z punktu końcowego info.

Oryginalny opis (angielski, źródło NVD)

PictShare before 3.7.1 contains an information disclosure vulnerability that allows unauthenticated attackers to obtain the secret delete_code and uploader metadata by calling the API::info() endpoint which returns the complete raw metadata object without a field whitelist. Attackers can use the publicly visible file hash to retrieve the delete_code via the info API and then invoke the delete API to permanently delete arbitrary files, while also exposing uploader IP, User Agent, remote port, and SHA-1 hash, resulting in loss of content integrity, availability, and uploader privacy.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS