CVE-2026-42323
Açıklama
Piwigo, web için tam özellikli açık kaynaklı bir fotoğraf galerisi uygulamasıdır. 16.4.0 sürümünden önce, admin/batch_manager.php; Batch Manager filtre URL'sinden gelen yönetici kontrollü boyut genişliği, yüksekliği, oran değerlerini ve dosya boyutu değerlerini sayısal doğrulama yapmadan kabul etmektedir. Doğrulanmış POST filtre yolunun aksine, URL filtre ayrıştırıcısı bu değerleri bulk_manager_filter oturum durumunda saklamakta ve daha sonra sorgu oluşturma aşamasında bunları SQL yüklemlerine eklemektedir. Kimliği doğrulanmış bir yönetici, özel olarak hazırlanmış filtre değerlerini kullanarak zaman tabanlı veya diğer SQL ifadelerini çalıştırabilir ve potansiyel olarak veritabanı verilerini ifşa edebilir, değiştirebilir veya bozabilir. Bu sorun 16.4.0 sürümünde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Piwigo Piwigo | < 16.4.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.