PT-2026-28100 · Piwigo · Piwigo

Q1Uf3Ng · CVE-2026-27634 · Publicado 2026-03-25 · Atualizado 2026-07-24

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Piwigo versões anteriores a 16.3.0

Description Existe um problema onde a função ws std image sql filter() não realiza a filtragem ou validação de tipo em quatro parâmetros de filtro de data: f min date available, f max date available, f min date created e f max date created. Esses parâmetros são concatenados diretamente em consultas SQL, permitindo que um invasor não autenticado leia todo o banco de dados, incluindo hashes de senhas de usuários.

Recommendations Atualizar para a versão 16.3.0.

Exploit

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2026-27634

GHSA-MGQC-3445-QGHQ

Produtos afetados

Piwigo

Referências · 8

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/27xxx/CVE-2026-27634.json · Exploit
• https://github.com/Piwigo/Piwigo/security/advisories/GHSA-mgqc-3445-qghq · Aviso do Fabricante
• https://github.com/Piwigo/Piwigo/commit/0d5ed1f7778bbe263410446d8cf64594df75bd08 · Correção
• https://osv.dev/vulnerability/CVE-2026-27634 · Aviso do Fabricante
• https://twitter.com/q1uf3ng/status/2036824777642655889 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-27634 · Nota de Segurança
• https://piwigo.org/release-16.3.0 · Nota
• https://t.me/cveNotify/222509 · Publicação no Telegram