PT-2026-61634
CVE-2026-35048
·
تاريخ النشر
2026-07-20
·
تاريخ التحديث
2026-07-21
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Piwigo الأقدم من 16.3.1
الوصف
يفشل المثبت في تنقية معلمات POST المستخدمة لتكوين قاعدة البيانات بشكل صحيح قبل كتابتها في ملف تكوين PHP. في PHP 8 وما فوق، يتم تجاوز آلية الحماية بسبب إزالة الدالة
get magic quotes gpc()، مما يسمح بإدراج مدخلات المستخدم الأولية في كود مصدر PHP. يمكن لمهاجم غير مصدق أن يحقن كود PHP تعسفيًا عبر معلمات prefix أو dbpasswd أو dbhost أو dbname أو dbuser، والتي تُكتب بعد ذلك إلى ملف local/config/database.inc.php وتُنفذ عند كل تحميل للصفحة.التوصيات
التحديث إلى الإصدار 16.3.1 أو أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾