CVE-2023-44393

Piwigo açık kaynaklı bir fotoğraf galerisi uygulamasıdır. 14.0.0beta4 sürümünden önce, `/admin.php?page=plugins&tab=new&installstatus=ok&plugin_id=[here]` sayfasında yansıtılmış bir siteler arası betik çalıştırma (XSS) zafiyeti bulunmaktadır. Bu zafiyet, bir saldırgan tarafından HTML sayfasına kötü amaçlı HTML ve JS kodu enjekte etmek için kullanılabilir; bu kodlar daha sonra yönetici kullanıcılar yük içeren URL'yi ziyaret ettiklerinde çalıştırılabilir. Zafiyet, URL'deki `plugin_id` değerinin HTML sayfasına güvenli olmayan şekilde enjekte edilmesinden kaynaklanmaktadır. Bir saldırgan, özel olarak hazırlanmış bir `plugin_id` değeri içeren kötü amaçlı bir URL oluşturarak bu zafiyeti istismar edebilir. Yönetici olarak giriş yapmış bir kurban bu URL'yi ziyaret ettiğinde, kötü amaçlı kod HTML sayfasına enjekte edilir ve çalıştırılır. Bu zafiyet, kötü amaçlı bir URL'ye erişimi olan herhangi bir saldırgan tarafından istismar edilebilir. Ancak, yalnızca yönetici olarak giriş yapmış kullanıcılar etkilenmektedir. Bunun nedeni, zafiyetin yalnızca yöneticilerin erişebildiği `/admin.php?page=plugins&tab=new&installstatus=ok&plugin_id=[here]` sayfasında mevcut olmasıdır. 14.0.0.beta4 sürümü bu sorun için bir yama içermektedir.