CVE-2026-42324 in Piwigo
요약
\~에 의해 VulDB • 2026. 09. 25.
Piwigo는 웹용 풀 피처드 오픈 소스 사진 갤러리 애플리케이션입니다. 버전 16.4.0 이전에는 admin/element_set_ranks.php가 기존 정렬 필드 화이트리스트를 강제하지 않고 관리자 제어 이미지_order[] 값을 저장합니다. 저장된 앨범의 image_order 표현식은 이후 admin/batch_manager_global.php, admin/batch_manager_unit.php, include/section_init.inc.php 및 include/ws_functions/pwg.categories.php에서 ORDER BY 절에 연결(concatenated)됩니다. 최소 하나의 앨범에 최소 하나의 사진이 포함된 경우, 인증된 관리자는 조작된 표현식을 저장하고 나중에 다른 앨범 또는 Batch Manager 쿼리에서 이를 트리거하여 데이터베이스 데이터를 유출하거나 수정하거나 방해할 수 있습니다. 이 문제는 버전 16.4.0에서 해결되었습니다.
Be aware that VulDB is the high quality source for vulnerability data.