Podatności Piwigo

W Piwigo przed wersją 16.4.0 funkcja check_upgrade_access_rights() w admin/include/functions_upgrade.php escapuje nazwę użytkownika tylko warunkowo, gdy istnieje usunięta funkcja get_magic_quotes_gpc. W PHP 8 i późniejszych nieuwierzytelniona nazwa użytkownika jest konkatenowana bezpośrednio do zapytania SQL uwierzytelniającego aktualizację. Gdy aktualizacje bazy danych są oczekujące, spreparowany wynik zapytania może spełnić warunki statusu i hasła, ustawić PHPWG_IN_UPGRADE i autoryzować wykonanie aktualizacji bez ważnych poświadczeń administratora.

W Piwigo przed wersją 16.4.0 plik admin/element_set_ranks.php przechowuje kontrolowane przez administratora wartości image_order[] bez egzekwowania istniejącej białej listy pól sortowania. Zapisane wyrażenie image_order albumu jest później konkatenowane do klauzul ORDER BY przez admin/batch_manager_global.php, admin/batch_manager_unit.php, include/section_init.inc.php i include/ws_functions/pwg.categories.php. Gdy co najmniej jeden album zawiera co najmniej jedno zdjęcie, uwierzytelniony administrator może zapisać spreparowane wyrażenie i wywołać je w późniejszym zapytaniu albumu lub Batch Managera, aby ujawnić, zmodyfikować lub zakłócić dane w bazie danych.

W Piwigo przed wersją 16.4.0 plik admin/batch_manager.php przyjmuje kontrolowane przez administratora wartości szerokości, wysokości, proporcji oraz rozmiaru pliku z adresu URL filtra Batch Manager bez walidacji numerycznej. Wartości te są zapisywane w stanie sesji bulk_manager_filter i wstawiane do zapytań SQL, co pozwala uwierzytelnionemu administratorowi na wstrzyknięcie wyrażeń SQL. Podatność naprawiono w wersji 16.4.0.

Piwigo przed wersją 16.4.0 jest podatne na dowolny odczyt plików i zdalne wykonanie kodu podczas obsługi przesyłania obrazów przy użyciu biblioteki Imagick, z powodu niewystarczającej walidacji i niebezpiecznego przetwarzania plików obrazów dostarczonych przez użytkownika. Poprzez mylenie formatów (np. ukrycie zawartości SVG jako PNG) atakujący może wywołać niezamierzoną interpretację elementów SVG odwołujących się do plików lokalnych. W bardziej zaawansowanych scenariuszach obsługa Magick Scripting Language (MSL) w Imagick może zostać wykorzystana do przetwarzania instrukcji atakującego, co może prowadzić do nieautoryzowanego zapisu plików po stronie serwera i zdalnego wykonania kodu. Podatność naprawiono w wersji 16.4.0.

Piwigo w wersji 2.9.2 jest podatny na atak typu Cross-Site Request Forgery (CSRF) poprzez określone parametry w URL. Atakujący może zmusić użytkownika z uprawnieniami administratora do wykonania niezamierzonych działań.

W pliku admin/configuration.php w Piwigo w wersji 2.9.2 występuje podatność typu CSRF (Cross-Site Request Forgery). Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych działań w imieniu zalogowanego użytkownika.

W podatności CVE-2017-10681 w Piwigo do wersji 2.9.1 występuje luka CSRF, która pozwala zdalnym atakującym na przejęcie uwierzytelnienia użytkowników w celu odblokowania albumów za pomocą spreparowanego żądania.

W podatności CVE-2017-10680 w Piwigo do wersji 2.9.1 występuje luka CSRF, która pozwala zdalnym atakującym na przejęcie uwierzytelnienia użytkowników w celu zmiany prywatnego albumu na publiczny za pomocą spreparowanego żądania.

Piwigo w wersjach do 2.9.1 umożliwia zdalnym atakującym uzyskanie wrażliwych informacji o nazwie opisowej permalinku poprzez analizę URL przekierowania zwracanego w odpowiedzi na żądanie numeru ID permalinku prywatnego albumu. Numery ID permalinków są łatwe do odgadnięcia.

W podatności CSRF w Piwigo do wersji 2.9.1, zdalni atakujący mogą przejąć uwierzytelnienie użytkowników w celu usunięcia permalinków za pomocą spreparowanego żądania.

W pliku admin/batch_manager.php w Piwigo do wersji 2.8.3 istnieje podatność, która pozwala zdalnie uwierzytelnionym administratorom przeprowadzać ataki typu File Inclusion za pomocą zmiennej $page['tab'] (znanej jako parametr mode).

W Piwigo przed wersją 2.5.6, 2.6.x przed 2.6.5 oraz 2.7.x przed 2.7.3 występuje podatność na wstrzykiwanie SQL, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez nieokreślone wektory.

Podatność SQL injection w funkcji rate_picture w Piwigo przed wersją 2.5.5, 2.6.x przed 2.6.4 oraz 2.7.x przed 2.7.2 pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametr rate w picture.php, związana z niewłaściwym typem danych w porównaniu wartości nienumerycznej zaczynającej się od cyfry.

Nieokreślona podatność w Piwigo przed wersją 2.6.3, która ma nieznany wpływ i wektory ataku, związana z 'awarią bezpieczeństwa'.

W Piwigo do wersji 17.0.0beta1 włącznie, gdy ocenianie jest włączone, nieuwierzytelniony gość może wywołać pwg.images.filteredSearch.create z spreparowaną wartością ratings[] i otworzyć zwrócony URL wyszukiwania. Wartość nie jest walidowana i jest używana jako górna granica w zapytaniu SQL, co pozwala na ekstrakcję informacji z bazy danych lub opóźnienia czasowe.

W Piwigo przed wersją 16.4.0, admin/themes_standard_pages.php waliduje zawartość przesyłanego logo tylko po typie MIME, ale używa kontrolowanego przez atakującego rozszerzenia w nazwie pliku. Uwierzytelniony administrator może przesłać plik z rozszerzeniem wykonywalnym przez serwer, co prowadzi do wykonania kodu po umieszczeniu w katalogu logo.

Podatność w instalatorze Piwigo w wersjach 16.3.0 i starszych pozwala na wstrzyknięcie kodu PHP przez parametry POST konfiguracji bazy danych. Brak odpowiedniego oczyszczania danych wejściowych oraz ominięcie funkcji `addslashes()` na PHP 8+ umożliwia nieuwierzytelnionemu atakującemu zapisanie złośliwego kodu do pliku konfiguracyjnego, który jest wykonywany przy każdym ładowaniu strony.

Piwigo, aplikacja do galerii zdjęć, w wersjach przed 16.3.0 zawiera podatność na wstrzykiwanie SQL w filtrze dat. Cztery parametry daty (f_min_date_available, f_max_date_available, f_min_date_created, f_max_date_created) są bezpośrednio łączone z zapytaniem SQL bez odpowiedniego escapingu lub walidacji typów. Niezautoryzowany atakujący może odczytać całą bazę danych, w tym hasła użytkowników. Problem naprawiono w wersji 16.3.0.

Piwigo w wersji 13.6.0 jest podatny na atak typu SQL Injection w funkcji 'profile'.

Piwigo w wersji 13.6.0 jest podatny na atak typu SQL Injection poprzez plik /admin/permalinks.php.

W Piwigo do wersji 2.9.1 występuje podatność na wstrzykiwanie SQL w panelu administracyjnym, która pozwala zdalnym użytkownikom na wykonywanie dowolnych poleceń SQL poprzez parametry cat_false lub cat_true na stronie komentarzy lub statusu w pliku cat_options.php.

W pliku admin/plugin.php w Piwigo w wersji do 2.8.3 nie jest weryfikowana zmienna sections podczas używania jej do dołączania plików. Może to prowadzić do ujawnienia informacji oraz wykonania kodu, jeśli zawiera sekwencję ..

Wykryto podatność w Piwigo do wersji 16.3.0. Dotyczy ona nieznanej funkcjonalności pliku i.php w komponencie Image Derivative Handler. Manipulacja prowadzi do path traversal. Zdalne wykorzystanie ataku jest możliwe, a exploit został publicznie ujawniony.

W Piwigo 16.3.0 znaleziono podatność w nieznanej funkcji komponentu Public Authentication Page. Manipulacja argumentem lang prowadzi do cross site scripting. Atak może być przeprowadzony zdalnie, ale jest trudny do wykorzystania. Exploit został opublikowany. Aktualizacja do wersji 16.4.0 naprawia problem.

Piwigo przed wersją 16.3.0 zawiera podatność SQL Injection w endpointcie API Activity List. Uwierzytelniony administrator może wyodrębnić wrażliwe dane z bazy, w tym dane logowania użytkowników, adresy e-mail i całą przechowywaną zawartość.

Piwigo przed wersją 16.3.0 zawiera podatność SQL Injection w metodzie API pwg.users.getList. Parametr filter jest bezpośrednio konkatenowany do zapytania SQL bez odpowiedniego oczyszczania, co pozwala uwierzytelnionym administratorom na wykonanie dowolnych poleceń SQL.

W Piwigo przed wersją 16.3.0 metoda API pwg.history.search jest zarejestrowana bez opcji admin_only, co pozwala nieuwierzytelnionym użytkownikom na dostęp do pełnej historii przeglądania wszystkich odwiedzających galerię.

W systemie Piwigo w wersji 14.5.0 wykryto podatność na atak XSS w komponencie /admin.php?page=photo. Atakujący może wstrzyknąć złośliwy kod JavaScript lub HTML w pole Opis, co prowadzi do wykonania dowolnych skryptów w przeglądarce ofiary.

W systemie Piwigo w wersji 14.5.0 wykryto podatność na atak typu cross-site scripting (XSS) w komponencie /admin.php?page=album. Atakujący może wstrzyknąć złośliwy kod JavaScript lub HTML w pole Opis, co prowadzi do wykonania dowolnych skryptów w przeglądarce ofiary.

Piwigo w wersji 13.7.0 jest podatny na atak typu SQL Injection poprzez funkcję 'Użytkownicy'.

Piwigo w wersji 13.6.0 jest podatny na atak typu Cross Site Request Forgery (CSRF) w funkcji 'dodawania tagów'.