Podatności Piwigo

Piwigo w wersji 2.9.2 jest podatny na atak typu Cross-Site Request Forgery (CSRF) poprzez określone parametry w URL. Atakujący może zmusić użytkownika z uprawnieniami administratora do wykonania niezamierzonych działań.

W pliku admin/configuration.php w Piwigo w wersji 2.9.2 występuje podatność typu CSRF (Cross-Site Request Forgery). Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych działań w imieniu zalogowanego użytkownika.

W podatności CVE-2017-10681 w Piwigo do wersji 2.9.1 występuje luka CSRF, która pozwala zdalnym atakującym na przejęcie uwierzytelnienia użytkowników w celu odblokowania albumów za pomocą spreparowanego żądania.

W podatności CVE-2017-10680 w Piwigo do wersji 2.9.1 występuje luka CSRF, która pozwala zdalnym atakującym na przejęcie uwierzytelnienia użytkowników w celu zmiany prywatnego albumu na publiczny za pomocą spreparowanego żądania.

Piwigo w wersjach do 2.9.1 umożliwia zdalnym atakującym uzyskanie wrażliwych informacji o nazwie opisowej permalinku poprzez analizę URL przekierowania zwracanego w odpowiedzi na żądanie numeru ID permalinku prywatnego albumu. Numery ID permalinków są łatwe do odgadnięcia.

W podatności CSRF w Piwigo do wersji 2.9.1, zdalni atakujący mogą przejąć uwierzytelnienie użytkowników w celu usunięcia permalinków za pomocą spreparowanego żądania.

W pliku admin/batch_manager.php w Piwigo do wersji 2.8.3 istnieje podatność, która pozwala zdalnie uwierzytelnionym administratorom przeprowadzać ataki typu File Inclusion za pomocą zmiennej $page['tab'] (znanej jako parametr mode).

W Piwigo przed wersją 2.5.6, 2.6.x przed 2.6.5 oraz 2.7.x przed 2.7.3 występuje podatność na wstrzykiwanie SQL, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez nieokreślone wektory.

Podatność SQL injection w funkcji rate_picture w Piwigo przed wersją 2.5.5, 2.6.x przed 2.6.4 oraz 2.7.x przed 2.7.2 pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametr rate w picture.php, związana z niewłaściwym typem danych w porównaniu wartości nienumerycznej zaczynającej się od cyfry.

Nieokreślona podatność w Piwigo przed wersją 2.6.3, która ma nieznany wpływ i wektory ataku, związana z 'awarią bezpieczeństwa'.

Podatność w instalatorze Piwigo w wersjach 16.3.0 i starszych pozwala na wstrzyknięcie kodu PHP przez parametry POST konfiguracji bazy danych. Brak odpowiedniego oczyszczania danych wejściowych oraz ominięcie funkcji `addslashes()` na PHP 8+ umożliwia nieuwierzytelnionemu atakującemu zapisanie złośliwego kodu do pliku konfiguracyjnego, który jest wykonywany przy każdym ładowaniu strony.

Piwigo, aplikacja do galerii zdjęć, w wersjach przed 16.3.0 zawiera podatność na wstrzykiwanie SQL w filtrze dat. Cztery parametry daty (f_min_date_available, f_max_date_available, f_min_date_created, f_max_date_created) są bezpośrednio łączone z zapytaniem SQL bez odpowiedniego escapingu lub walidacji typów. Niezautoryzowany atakujący może odczytać całą bazę danych, w tym hasła użytkowników. Problem naprawiono w wersji 16.3.0.

Piwigo w wersji 13.6.0 jest podatny na atak typu SQL Injection w funkcji 'profile'.

Piwigo w wersji 13.6.0 jest podatny na atak typu SQL Injection poprzez plik /admin/permalinks.php.

W Piwigo do wersji 2.9.1 występuje podatność na wstrzykiwanie SQL w panelu administracyjnym, która pozwala zdalnym użytkownikom na wykonywanie dowolnych poleceń SQL poprzez parametry cat_false lub cat_true na stronie komentarzy lub statusu w pliku cat_options.php.

W pliku admin/plugin.php w Piwigo w wersji do 2.8.3 nie jest weryfikowana zmienna sections podczas używania jej do dołączania plików. Może to prowadzić do ujawnienia informacji oraz wykonania kodu, jeśli zawiera sekwencję ..

W Piwigo 16.3.0 znaleziono podatność w nieznanej funkcji komponentu Public Authentication Page. Manipulacja argumentem lang prowadzi do cross site scripting. Atak może być przeprowadzony zdalnie, ale jest trudny do wykorzystania. Exploit został opublikowany. Aktualizacja do wersji 16.4.0 naprawia problem.

Piwigo przed wersją 16.3.0 zawiera podatność SQL Injection w endpointcie API Activity List. Uwierzytelniony administrator może wyodrębnić wrażliwe dane z bazy, w tym dane logowania użytkowników, adresy e-mail i całą przechowywaną zawartość.

Piwigo przed wersją 16.3.0 zawiera podatność SQL Injection w metodzie API pwg.users.getList. Parametr filter jest bezpośrednio konkatenowany do zapytania SQL bez odpowiedniego oczyszczania, co pozwala uwierzytelnionym administratorom na wykonanie dowolnych poleceń SQL.

W Piwigo przed wersją 16.3.0 metoda API pwg.history.search jest zarejestrowana bez opcji admin_only, co pozwala nieuwierzytelnionym użytkownikom na dostęp do pełnej historii przeglądania wszystkich odwiedzających galerię.

W systemie Piwigo w wersji 14.5.0 wykryto podatność na atak XSS w komponencie /admin.php?page=photo. Atakujący może wstrzyknąć złośliwy kod JavaScript lub HTML w pole Opis, co prowadzi do wykonania dowolnych skryptów w przeglądarce ofiary.

W systemie Piwigo w wersji 14.5.0 wykryto podatność na atak typu cross-site scripting (XSS) w komponencie /admin.php?page=album. Atakujący może wstrzyknąć złośliwy kod JavaScript lub HTML w pole Opis, co prowadzi do wykonania dowolnych skryptów w przeglądarce ofiary.

Piwigo w wersji 13.7.0 jest podatny na atak typu SQL Injection poprzez funkcję 'Użytkownicy'.

Piwigo w wersji 13.6.0 jest podatny na atak typu Cross Site Request Forgery (CSRF) w funkcji 'dodawania tagów'.