CVE-2026-42324
WysokieCVSS 7.2Streszczenie
W Piwigo przed wersją 16.4.0 plik admin/element_set_ranks.php przechowuje kontrolowane przez administratora wartości image_order[] bez egzekwowania istniejącej białej listy pól sortowania. Zapisane wyrażenie image_order albumu jest później konkatenowane do klauzul ORDER BY przez admin/batch_manager_global.php, admin/batch_manager_unit.php, include/section_init.inc.php i include/ws_functions/pwg.categories.php. Gdy co najmniej jeden album zawiera co najmniej jedno zdjęcie, uwierzytelniony administrator może zapisać spreparowane wyrażenie i wywołać je w późniejszym zapytaniu albumu lub Batch Managera, aby ujawnić, zmodyfikować lub zakłócić dane w bazie danych.
Ocena ryzyka
Uwierzytelniony administrator może wykorzystać lukę do ujawnienia, modyfikacji lub zakłócenia danych w bazie danych. Może to prowadzić do naruszenia poufności, integralności lub dostępności danych.
Rekomendacja
Zaktualizuj Piwigo do wersji 16.4.0. Ogranicz uprawnienia administracyjne i zweryfikuj, czy nie doszło do nieautoryzowanych modyfikacji danych.
Inne podatności w Piwigo
Zobacz wszystkie- CVE-2026-44642Wysokie
W Piwigo przed wersją 16.4.0 funkcja check_upgrade_access_rights() w admin/include/functions_upgrade.php escapuje nazwę użytkownika tylko warunkowo, gdy istnieje usunięta funkcja get_magic_quotes_gpc. W PHP 8 i późniejszych nieuwierzytelniona nazwa użytkownika jest konkatenowana bezpośrednio do zapytania SQL uwierzytelniającego aktualizację. Gdy aktualizacje bazy danych są oczekujące, spreparowany wynik zapytania może spełnić warunki statusu i hasła, ustawić PHPWG_IN_UPGRADE i autoryzować wykonanie aktualizacji bez ważnych poświadczeń administratora.
- CVE-2026-42323Wysokie
W Piwigo przed wersją 16.4.0 plik admin/batch_manager.php przyjmuje kontrolowane przez administratora wartości szerokości, wysokości, proporcji oraz rozmiaru pliku z adresu URL filtra Batch Manager bez walidacji numerycznej. Wartości te są zapisywane w stanie sesji bulk_manager_filter i wstawiane do zapytań SQL, co pozwala uwierzytelnionemu administratorowi na wstrzyknięcie wyrażeń SQL. Podatność naprawiono w wersji 16.4.0.
- CVE-2026-85750Wysokie
Piwigo przed wersją 16.4.0 jest podatne na dowolny odczyt plików i zdalne wykonanie kodu podczas obsługi przesyłania obrazów przy użyciu biblioteki Imagick, z powodu niewystarczającej walidacji i niebezpiecznego przetwarzania plików obrazów dostarczonych przez użytkownika. Poprzez mylenie formatów (np. ukrycie zawartości SVG jako PNG) atakujący może wywołać niezamierzoną interpretację elementów SVG odwołujących się do plików lokalnych. W bardziej zaawansowanych scenariuszach obsługa Magick Scripting Language (MSL) w Imagick może zostać wykorzystana do przetwarzania instrukcji atakującego, co może prowadzić do nieautoryzowanego zapisu plików po stronie serwera i zdalnego wykonania kodu. Podatność naprawiono w wersji 16.4.0.
- CVE-2017-17827Wysokie
Piwigo w wersji 2.9.2 jest podatny na atak typu Cross-Site Request Forgery (CSRF) poprzez określone parametry w URL. Atakujący może zmusić użytkownika z uprawnieniami administratora do wykonania niezamierzonych działań.
- CVE-2017-17774Wysokie
W pliku admin/configuration.php w Piwigo w wersji 2.9.2 występuje podatność typu CSRF (Cross-Site Request Forgery). Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych działań w imieniu zalogowanego użytkownika.
- CVE-2017-10681Wysokie
W podatności CVE-2017-10681 w Piwigo do wersji 2.9.1 występuje luka CSRF, która pozwala zdalnym atakującym na przejęcie uwierzytelnienia użytkowników w celu odblokowania albumów za pomocą spreparowanego żądania.
- CVE-2017-10680Wysokie
W podatności CVE-2017-10680 w Piwigo do wersji 2.9.1 występuje luka CSRF, która pozwala zdalnym atakującym na przejęcie uwierzytelnienia użytkowników w celu zmiany prywatnego albumu na publiczny za pomocą spreparowanego żądania.
- CVE-2017-10679Wysokie
Piwigo w wersjach do 2.9.1 umożliwia zdalnym atakującym uzyskanie wrażliwych informacji o nazwie opisowej permalinku poprzez analizę URL przekierowania zwracanego w odpowiedzi na żądanie numeru ID permalinku prywatnego albumu. Numery ID permalinków są łatwe do odgadnięcia.
- CVE-2017-10678Wysokie
W podatności CSRF w Piwigo do wersji 2.9.1, zdalni atakujący mogą przejąć uwierzytelnienie użytkowników w celu usunięcia permalinków za pomocą spreparowanego żądania.
- CVE-2016-10084Wysokie
W pliku admin/batch_manager.php w Piwigo do wersji 2.8.3 istnieje podatność, która pozwala zdalnie uwierzytelnionym administratorom przeprowadzać ataki typu File Inclusion za pomocą zmiennej $page['tab'] (znanej jako parametr mode).
Oryginalny opis (angielski, źródło NVD)
Piwigo is a full featured open source photo gallery application for the web. Prior to 16.4.0, admin/element_set_ranks.php stores administrator-controlled image_order[] values without enforcing the existing sort-field whitelist. The stored album image_order expression is later concatenated into ORDER BY clauses by admin/batch_manager_global.php, admin/batch_manager_unit.php, include/section_init.inc.php, and include/ws_functions/pwg.categories.php. When at least one album contains at least one photo, an authenticated administrator can store a crafted expression and trigger it in a later album or Batch Manager query to disclose, modify, or disrupt database data. This issue is fixed in version 16.4.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS