CVE-2026-27634
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 47 - wyżej niż 47% wszystkich znanych CVE
Streszczenie
Piwigo, aplikacja do galerii zdjęć, w wersjach przed 16.3.0 zawiera podatność na wstrzykiwanie SQL w filtrze dat. Cztery parametry daty (f_min_date_available, f_max_date_available, f_min_date_created, f_max_date_created) są bezpośrednio łączone z zapytaniem SQL bez odpowiedniego escapingu lub walidacji typów. Niezautoryzowany atakujący może odczytać całą bazę danych, w tym hasła użytkowników. Problem naprawiono w wersji 16.3.0.
Ocena ryzyka
Atakujący bez uwierzytelnienia może uzyskać dostęp do całej bazy danych, w tym do skrótów haseł użytkowników, co może prowadzić do kradzieży tożsamości i dalszych ataków.
Rekomendacja
Należy niezwłocznie zaktualizować Piwigo do wersji 16.3.0 lub nowszej.
Inne podatności w Piwigo
Zobacz wszystkie- CVE-2026-44642Wysokie
W Piwigo przed wersją 16.4.0 funkcja check_upgrade_access_rights() w admin/include/functions_upgrade.php escapuje nazwę użytkownika tylko warunkowo, gdy istnieje usunięta funkcja get_magic_quotes_gpc. W PHP 8 i późniejszych nieuwierzytelniona nazwa użytkownika jest konkatenowana bezpośrednio do zapytania SQL uwierzytelniającego aktualizację. Gdy aktualizacje bazy danych są oczekujące, spreparowany wynik zapytania może spełnić warunki statusu i hasła, ustawić PHPWG_IN_UPGRADE i autoryzować wykonanie aktualizacji bez ważnych poświadczeń administratora.
- CVE-2026-42324Wysokie
W Piwigo przed wersją 16.4.0 plik admin/element_set_ranks.php przechowuje kontrolowane przez administratora wartości image_order[] bez egzekwowania istniejącej białej listy pól sortowania. Zapisane wyrażenie image_order albumu jest później konkatenowane do klauzul ORDER BY przez admin/batch_manager_global.php, admin/batch_manager_unit.php, include/section_init.inc.php i include/ws_functions/pwg.categories.php. Gdy co najmniej jeden album zawiera co najmniej jedno zdjęcie, uwierzytelniony administrator może zapisać spreparowane wyrażenie i wywołać je w późniejszym zapytaniu albumu lub Batch Managera, aby ujawnić, zmodyfikować lub zakłócić dane w bazie danych.
- CVE-2026-42323Wysokie
W Piwigo przed wersją 16.4.0 plik admin/batch_manager.php przyjmuje kontrolowane przez administratora wartości szerokości, wysokości, proporcji oraz rozmiaru pliku z adresu URL filtra Batch Manager bez walidacji numerycznej. Wartości te są zapisywane w stanie sesji bulk_manager_filter i wstawiane do zapytań SQL, co pozwala uwierzytelnionemu administratorowi na wstrzyknięcie wyrażeń SQL. Podatność naprawiono w wersji 16.4.0.
- CVE-2026-85750Wysokie
Piwigo przed wersją 16.4.0 jest podatne na dowolny odczyt plików i zdalne wykonanie kodu podczas obsługi przesyłania obrazów przy użyciu biblioteki Imagick, z powodu niewystarczającej walidacji i niebezpiecznego przetwarzania plików obrazów dostarczonych przez użytkownika. Poprzez mylenie formatów (np. ukrycie zawartości SVG jako PNG) atakujący może wywołać niezamierzoną interpretację elementów SVG odwołujących się do plików lokalnych. W bardziej zaawansowanych scenariuszach obsługa Magick Scripting Language (MSL) w Imagick może zostać wykorzystana do przetwarzania instrukcji atakującego, co może prowadzić do nieautoryzowanego zapisu plików po stronie serwera i zdalnego wykonania kodu. Podatność naprawiono w wersji 16.4.0.
- CVE-2017-17827Wysokie
Piwigo w wersji 2.9.2 jest podatny na atak typu Cross-Site Request Forgery (CSRF) poprzez określone parametry w URL. Atakujący może zmusić użytkownika z uprawnieniami administratora do wykonania niezamierzonych działań.
- CVE-2017-17774Wysokie
W pliku admin/configuration.php w Piwigo w wersji 2.9.2 występuje podatność typu CSRF (Cross-Site Request Forgery). Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych działań w imieniu zalogowanego użytkownika.
- CVE-2017-10681Wysokie
W podatności CVE-2017-10681 w Piwigo do wersji 2.9.1 występuje luka CSRF, która pozwala zdalnym atakującym na przejęcie uwierzytelnienia użytkowników w celu odblokowania albumów za pomocą spreparowanego żądania.
- CVE-2017-10680Wysokie
W podatności CVE-2017-10680 w Piwigo do wersji 2.9.1 występuje luka CSRF, która pozwala zdalnym atakującym na przejęcie uwierzytelnienia użytkowników w celu zmiany prywatnego albumu na publiczny za pomocą spreparowanego żądania.
- CVE-2017-10679Wysokie
Piwigo w wersjach do 2.9.1 umożliwia zdalnym atakującym uzyskanie wrażliwych informacji o nazwie opisowej permalinku poprzez analizę URL przekierowania zwracanego w odpowiedzi na żądanie numeru ID permalinku prywatnego albumu. Numery ID permalinków są łatwe do odgadnięcia.
- CVE-2017-10678Wysokie
W podatności CSRF w Piwigo do wersji 2.9.1, zdalni atakujący mogą przejąć uwierzytelnienie użytkowników w celu usunięcia permalinków za pomocą spreparowanego żądania.
Oryginalny opis (angielski, źródło NVD)
Piwigo is an open source photo gallery application for the web. Prior to version 16.3.0, the four date filter parameters (f_min_date_available, f_max_date_available, f_min_date_created, f_max_date_created) in ws_std_image_sql_filter() are concatenated directly into SQL without any escaping or type validation. This could result in an unauthenticated attacker reading the full database, including user password hashes. This issue has been patched in version 16.3.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS