CVE-2026-42322 in Piwigo
要約
〜によって VulDB • 2026年09月25日
Piwigoは、Web向けのフル機能のオープンソース写真ギャラリーアプリケーションです。バージョン16.4.0より前では、admin/themes_standard_pages.phpはアップロードされたロゴコンテンツをMIMEタイプによって検証しますが、保存されるファイル名の構築時にstd_pgs_logoから攻撃者が制御可能な拡張子を再利用します。認証済み管理者がサーバーで実行可能な最終的な拡張子を持つ画像コンテンツをアップロードすると、そのファイルはWebアクセス可能なlogoディレクトリに配置され、Webサーバーがその拡張子を処理する場合に要求された際に実行されます。これにより、任意のコマンドの実行、データの開示・変更・永続化、およびサービス妨害が可能になります。この脆弱性は16.4.0で修正されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.