CVE-2026-35048
Təsvir
Piwigo quraşdırıcısının 16.3.0 və daha öncəki versiyaları verilənlər bazasının konfiqurasiyası üçün POST parametrlərini qəbul edir və onları lazımi təmizləmə aparmadan birbaşa PHP konfiqurasiya faylına yazır. PHP 8+ versiyalarında, `addslashes()` qoruması, PHP 8.0-da silinmiş olan `get_magic_quotes_gpc()` funksiyasını yoxladığı üçün yan gedilir. Bu, istifadəçi tərəfindən daxil edilmiş xam məlumatların birbaşa PHP mənbə koduna interpolasiya edilməsinə şərait yaradır. Autentifikasiya olunmamış hücumçu POST parametrləri (prefix, dbpasswd, dbhost, dbname və ya dbuser) vasitəsilə ixtiyari PHP kodu inyeksiya edə bilər ki, bu da `local/config/database.inc.php` faylına yazılır və hər səhifə yükləndikdə icra edilir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| Piwigo Piwigo | <= 16.3.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.