CVE-2026-27634
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 47 - wyżej niż 47% wszystkich znanych CVE
Streszczenie
Piwigo, aplikacja do galerii zdjęć, w wersjach przed 16.3.0 zawiera podatność na wstrzykiwanie SQL w filtrze dat. Cztery parametry daty (f_min_date_available, f_max_date_available, f_min_date_created, f_max_date_created) są bezpośrednio łączone z zapytaniem SQL bez odpowiedniego escapingu lub walidacji typów. Niezautoryzowany atakujący może odczytać całą bazę danych, w tym hasła użytkowników. Problem naprawiono w wersji 16.3.0.
Ocena ryzyka
Atakujący bez uwierzytelnienia może uzyskać dostęp do całej bazy danych, w tym do skrótów haseł użytkowników, co może prowadzić do kradzieży tożsamości i dalszych ataków.
Rekomendacja
Należy niezwłocznie zaktualizować Piwigo do wersji 16.3.0 lub nowszej.
Oryginalny opis (angielski, źródło NVD)
Piwigo is an open source photo gallery application for the web. Prior to version 16.3.0, the four date filter parameters (f_min_date_available, f_max_date_available, f_min_date_created, f_max_date_created) in ws_std_image_sql_filter() are concatenated directly into SQL without any escaping or type validation. This could result in an unauthenticated attacker reading the full database, including user password hashes. This issue has been patched in version 16.3.0.