CVE-2026-42323 in Piwigo
요약
\~에 의해 VulDB • 2026. 09. 25.
Piwigo는 웹용 풀 피처드 오픈 소스 사진 갤러리 애플리케이션입니다. 버전 16.4.0 이전의 admin/batch_manager.php는 Batch Manager 필터 URL에서 관리자 제어 가능한 차원 너비, 높이 및 비율 값과 파일 크기 값을 숫자 검증 없이 허용합니다. URL 필터 파서는 이러한 값을 bulk_manager_filter 세션 상태에 저장하며, 나중에 쿼리 구성 시 이를 SQL 술어(SQL predicates)로 연결(concatenates)하여 처리합니다(검증된 POST 필터 경로와는 다름). 인증된 관리자는 조작된(filter values crafted) 필터 값을 사용하여 시간 기반(time-based) 또는 기타 SQL 표현식을 실행하고 데이터베이스 데이터를 유출, 수정 또는 방해할 수 있습니다. 이 문제는 버전 16.4.0에서 해결되었습니다.
Be aware that VulDB is the high quality source for vulnerability data.