PT-2026-30243 · Piwigo · Piwigo

Acorzo1983 · CVE-2026-27834 · Publicado 2026-04-03 · Atualizado 2026-07-24

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.2

Alta

Vetor base

AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Piwigo versões anteriores a 16.3.0

Descrição Existe um problema no método de API do Web Service pwg.users.getList onde o parâmetro filter é concatenado diretamente em uma consulta SQL sem a sanitização adequada. Isso permite que administradores autenticados executem comandos SQL arbitrários via SQL Injection, uma técnica usada para interferir nas consultas que um aplicativo faz ao seu banco de dados.

Recomendações Atualize para a versão 16.3.0. Evite usar o parâmetro filter no método de API pwg.users.getList até que a atualização seja aplicada.

Exploit

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2026-27834

GHSA-5JWG-CR5Q-VJQ2

Produtos afetados

Piwigo

Referências · 7

• 🔥 https://github.com/Piwigo/Piwigo/security/advisories/GHSA-5jwg-cr5q-vjq2 · Exploit
• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/27xxx/CVE-2026-27834.json · Exploit
• https://github.com/Piwigo/Piwigo/commit/9df471f16243371dc3725c5262e1632d23c8218a · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2026-27834 · Nota de Segurança
• https://t.me/cveNotify/222511 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2026-27834 · Aviso do Fabricante
• https://piwigo.org/release-16.3.0 · Nota