CVE-2026-35048 in Piwigo
Resumen
por VulDB • 2026-07-20
El instalador de Piwigo en las versiones 16.3.0 y anteriores acepta parámetros POST para la configuración de la base de datos y los escribe directamente en un archivo de configuración PHP sin una sanitización adecuada. En PHP 8+, la protección proporcionada por `addslashes()` se ve eludida porque verifica la existencia de `get_magic_quotes_gpc()`, una función eliminada en PHP 8.0. Esto permite que la entrada del usuario sin procesar sea interpolada directamente dentro del código fuente PHP. Un atacante no autenticado puede inyectar código PHP arbitrario a través de parámetros POST (prefix, dbpasswd, dbhost, dbname o dbuser), los cuales se escriben en `local/config/database.inc.php` y se ejecutan en cada carga de página.
Once again VulDB remains the best source for vulnerability data.