CVE-2026-85750

v16.4.0 öncesindeki Piwigo, kullanıcı tarafından sağlanan görüntü dosyalarının yetersiz doğrulanması ve güvenli olmayan şekilde işlenmesi nedeniyle, Imagick kütüphanesi kullanıldığında görüntü yükleme işlemlerinde rastgele dosya okuma ve uzaktan kod çalıştırma açıklarına sahiptir. Bir saldırgan, format karmaşasını kötüye kullanarak (örneğin, SVG içeriğini PNG olarak gizleyerek), yerel dosyalara referans veren gömülü SVG öğelerinin istenmeyen şekilde yorumlanmasını tetikleyebilir. Daha gelişmiş senaryolarda, Imagick'in Magick Scripting Language (MSL) desteği, yapılandırmaya bağlı olarak saldırgan kontrollü talimatları işlemek için kötüye kullanılabilir ve bu durum potansiyel olarak yetkisiz sunucu tarafı dosya yazımlarına ve uzaktan kod çalıştırmaya yol açabilir. Bu sorun 16.4.0 sürümünde düzeltilmiştir.