PT-2024-32070 · Piwigo · Piwigo

Achufistov · Publicado 2024-10-16 · Atualizado 2024-10-18 · CVE-2024-46605

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Piwigo versão 14.5.0

Descrição

Uma vulnerabilidade de script entre sites (XSS) no componente /admin.php?page=album permite que invasores executem scripts da web ou HTML arbitrários por meio de uma carga maliciosa injetada no campo Description. Essa falha permite que invasores executem scripts maliciosos.

Recomendações

Para a versão 14.5.0 do Piwigo, como solução temporária, considere restringir o acesso ao componente /admin.php?page=album até que um patch esteja disponível. Evite usar o campo Description no componente afetado até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2024-46605

Produtos afetados

Piwigo

Referências · 9

• 🔥 https://drive.google.com/file/d/1-OiaEitTaY7tpEPZMZ8GYtyUH3QWVn22/view?usp=drive_link · Exploit
• 🔥 https://github.com/achufistov/cve-achufistov/blob/main/CVE-2024-46605.md · Exploit
• https://github.com/Piwigo/Piwigo · Nota
• https://twitter.com/CVEnew/status/1846609982986637341 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-46605 · Nota de Segurança
• http://piwigo.com · Nota
• https://twitter.com/VulmonFeeds/status/1846767524479742289 · Publicação no Twitter
• https://t.me/cvedetector/8096 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-46605 · Aviso do Fabricante