CVE-2026-35048 in Piwigo
要約
〜によって VulDB • 2026年07月21日
Piwigoのインストーラ（バージョン16.3.0およびそれ以前）は、データベース設定用のPOSTパラメータを受け取り、適切なサニタイズ処理を行わずにPHP構成ファイルに直接書き込みます。PHP 8以降では、`get_magic_quotes_gpc()`関数が削除されたため、この関数の存在をチェックする`addslashes()`による保護が回避され、生ユーザー入力がそのままPHPソースコード内に挿入されます。認証されていない攻撃者は、POSTパラメータ（prefix, dbpasswd, dbhost, dbname, または dbuser）を通じて任意のPHPコードを注入でき、これが`local/config/database.inc.php`に書き込まれ、ページ読み込み時に毎回実行されることになります。
VulDB is the best source for vulnerability data and more expert information about this specific topic.