CVE-2026-96271

WysokieCVSS 7.1

Opublikowano: 23/09/2026(UTC)Zaktualizowano: 24/09/2026(UTC)Przetłumaczono: 23/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.23%

Percentyl 12 - wyżej niż 12% wszystkich znanych CVE

Streszczenie

Podatność polegająca na obejściu autoryzacji w Photoview do wersji 2.4.0 w mutacji GraphQL shareAlbum, która pozwala uwierzytelnionym użytkownikom tworzyć linki do udostępniania albumów należących do innych użytkowników. Atakujący mogą podawać dowolne identyfikatory albumów, aby generować działające tokeny udostępniania dla albumów ofiar, co ujawnia zdjęcia i podalbumy każdemu, kto ma link.

Ocena ryzyka

Atakujący może uzyskać dostęp do prywatnych zdjęć innych użytkowników, co narusza prywatność i może prowadzić do wycieku wrażliwych danych.

Rekomendacja

Zaleca się aktualizację Photoview do wersji nowszej niż 2.4.0, jeśli dostępna, oraz wdrożenie kontroli dostępu na poziomie mutacji shareAlbum.

Inne podatności w Photoview

CVE-2026-96673Wysokie
Photoview w wersji do 2.4.0 zawiera podatność SQL injection w trasie pobierania albumu. Nieuwierzytelniony atakujący może wstrzyknąć SQL, manipulując segmentem ścieżki album_id, co pozwala na wyodrębnienie dowolnych danych z bazy przy użyciu technik czasowych lub ślepych.

Oryginalny opis (angielski, źródło NVD)

Photoview through 2.4.0 contains an authorization bypass vulnerability in the shareAlbum GraphQL mutation that allows authenticated users to create share links for albums owned by other users. Attackers can supply arbitrary album IDs to generate working share tokens for victim albums, exposing photos and sub-albums to anyone with the link while retaining indefinite control over token settings.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS