CVE-2026-35048 in Piwigo
Riassunto
di VulDB • 20/07/2026
L'installer di Piwigo nelle versioni 16.3.0 e precedenti accetta parametri POST per la configurazione del database e li scrive direttamente in un file di configurazione PHP senza una corretta sanitizzazione. Su PHP 8+, la protezione fornita da `addslashes()` viene aggirata poiché verifica l'esistenza della funzione `get_magic_quotes_gpc()`, rimossa nella versione 8.0 di PHP. Ciò consente all'input grezzo dell'utente di essere interpolato direttamente nel codice sorgente PHP. Un attaccante non autenticato può iniettare codice PHP arbitrario tramite i parametri POST (prefix, dbpasswd, dbhost, dbname o dbuser), che viene scritto nel file `local/config/database.inc.php` ed eseguito ad ogni caricamento della pagina.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.