CVE-2023-37270

Piwigo açık kaynaklı bir fotoğraf galerisi yazılımıdır. Versiyon 13.8.0 öncesinde, yönetici ekranının giriş kısmında bir SQL Injection zafiyeti bulunmaktadır. Yönetici ekranına giriş yaparken kullanıcı bilgilerini kaydeden uç noktada, HTTP Header `User-Agent` bilgisini alan SQL ifadesi savunmasızdır. Keyfi SQL ifadeleri yürütmek mümkündür. Zafiyeti istismar etmek isteyen kişinin, düşük yetkilere sahip olsa bile yönetici ekranına giriş yapmış olması gerekir. Herhangi bir SQL ifadesi çalıştırılabilir ve bu durum veritabanından bilgi sızmasına neden olabilir. Versiyon 13.8.0 bu sorun için bir düzeltme içermektedir. Diğer bir önlem olarak, kullanıcı tarafından girilebilir parametrelerle kelimesi kelimesine bir SQL ifadesi yürütmek isteyenler, parametre içeriklerini uygun şekilde kaçırmalıdır (escape).