CVE-2026-62262
KrytyczneCVSS 9.1Streszczenie
W Piwigo do wersji 17.0.0beta1 włącznie, gdy ocenianie jest włączone, nieuwierzytelniony gość może wywołać pwg.images.filteredSearch.create z spreparowaną wartością ratings[] i otworzyć zwrócony URL wyszukiwania. Wartość nie jest walidowana i jest używana jako górna granica w zapytaniu SQL, co pozwala na ekstrakcję informacji z bazy danych lub opóźnienia czasowe.
Ocena ryzyka
Atak może prowadzić do wycieku danych z bazy danych lub zakłócenia działania usługi poprzez celowe opóźnienia.
Rekomendacja
Nie ma dostępnej wersji z poprawką; ogranicz dostęp do publicznego wyszukiwania lub wyłącz ocenianie do czasu wydania łatki.
Inne podatności w Piwigo
Zobacz wszystkie- CVE-2026-44642Wysokie
W Piwigo przed wersją 16.4.0 funkcja check_upgrade_access_rights() w admin/include/functions_upgrade.php escapuje nazwę użytkownika tylko warunkowo, gdy istnieje usunięta funkcja get_magic_quotes_gpc. W PHP 8 i późniejszych nieuwierzytelniona nazwa użytkownika jest konkatenowana bezpośrednio do zapytania SQL uwierzytelniającego aktualizację. Gdy aktualizacje bazy danych są oczekujące, spreparowany wynik zapytania może spełnić warunki statusu i hasła, ustawić PHPWG_IN_UPGRADE i autoryzować wykonanie aktualizacji bez ważnych poświadczeń administratora.
- CVE-2026-42324Wysokie
W Piwigo przed wersją 16.4.0 plik admin/element_set_ranks.php przechowuje kontrolowane przez administratora wartości image_order[] bez egzekwowania istniejącej białej listy pól sortowania. Zapisane wyrażenie image_order albumu jest później konkatenowane do klauzul ORDER BY przez admin/batch_manager_global.php, admin/batch_manager_unit.php, include/section_init.inc.php i include/ws_functions/pwg.categories.php. Gdy co najmniej jeden album zawiera co najmniej jedno zdjęcie, uwierzytelniony administrator może zapisać spreparowane wyrażenie i wywołać je w późniejszym zapytaniu albumu lub Batch Managera, aby ujawnić, zmodyfikować lub zakłócić dane w bazie danych.
- CVE-2026-42323Wysokie
W Piwigo przed wersją 16.4.0 plik admin/batch_manager.php przyjmuje kontrolowane przez administratora wartości szerokości, wysokości, proporcji oraz rozmiaru pliku z adresu URL filtra Batch Manager bez walidacji numerycznej. Wartości te są zapisywane w stanie sesji bulk_manager_filter i wstawiane do zapytań SQL, co pozwala uwierzytelnionemu administratorowi na wstrzyknięcie wyrażeń SQL. Podatność naprawiono w wersji 16.4.0.
- CVE-2026-85750Wysokie
Piwigo przed wersją 16.4.0 jest podatne na dowolny odczyt plików i zdalne wykonanie kodu podczas obsługi przesyłania obrazów przy użyciu biblioteki Imagick, z powodu niewystarczającej walidacji i niebezpiecznego przetwarzania plików obrazów dostarczonych przez użytkownika. Poprzez mylenie formatów (np. ukrycie zawartości SVG jako PNG) atakujący może wywołać niezamierzoną interpretację elementów SVG odwołujących się do plików lokalnych. W bardziej zaawansowanych scenariuszach obsługa Magick Scripting Language (MSL) w Imagick może zostać wykorzystana do przetwarzania instrukcji atakującego, co może prowadzić do nieautoryzowanego zapisu plików po stronie serwera i zdalnego wykonania kodu. Podatność naprawiono w wersji 16.4.0.
- CVE-2017-17827Wysokie
Piwigo w wersji 2.9.2 jest podatny na atak typu Cross-Site Request Forgery (CSRF) poprzez określone parametry w URL. Atakujący może zmusić użytkownika z uprawnieniami administratora do wykonania niezamierzonych działań.
- CVE-2017-17774Wysokie
W pliku admin/configuration.php w Piwigo w wersji 2.9.2 występuje podatność typu CSRF (Cross-Site Request Forgery). Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych działań w imieniu zalogowanego użytkownika.
- CVE-2017-10681Wysokie
W podatności CVE-2017-10681 w Piwigo do wersji 2.9.1 występuje luka CSRF, która pozwala zdalnym atakującym na przejęcie uwierzytelnienia użytkowników w celu odblokowania albumów za pomocą spreparowanego żądania.
- CVE-2017-10680Wysokie
W podatności CVE-2017-10680 w Piwigo do wersji 2.9.1 występuje luka CSRF, która pozwala zdalnym atakującym na przejęcie uwierzytelnienia użytkowników w celu zmiany prywatnego albumu na publiczny za pomocą spreparowanego żądania.
- CVE-2017-10679Wysokie
Piwigo w wersjach do 2.9.1 umożliwia zdalnym atakującym uzyskanie wrażliwych informacji o nazwie opisowej permalinku poprzez analizę URL przekierowania zwracanego w odpowiedzi na żądanie numeru ID permalinku prywatnego albumu. Numery ID permalinków są łatwe do odgadnięcia.
- CVE-2017-10678Wysokie
W podatności CSRF w Piwigo do wersji 2.9.1, zdalni atakujący mogą przejąć uwierzytelnienie użytkowników w celu usunięcia permalinków za pomocą spreparowanego żądania.
Oryginalny opis (angielski, źródło NVD)
Piwigo is a full featured open source photo gallery application for the web. In 17.0.0beta1 and earlier, when rating is enabled, an unauthenticated guest can call pwg.images.filteredSearch.create with a crafted ratings[] value and then open the returned search URL. include/ws_functions/pwg.images.php stores the unvalidated value in the search rules, and include/functions_search.inc.php integer-casts only the lower rating bound while concatenating the raw value as the SQL upper bound. This allows error-based or blind extraction of database information and database-dependent time delays through the public search flow. No fixed version is available as of this review.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS