CVE-2026-104051

Nome do Software Vulnerável e Versões Afetadas PictShare versões anteriores a 3.7.1

Descrição Existe um problema de divulgação de informações que permite que atacantes não autenticados obtenham o delete code secreto e metadados do uploader. Isso ocorre ao chamar o endpoint 'API::info()', que retorna o objeto de metadados bruto completo sem uma lista de permissões de campos. Ao usar um hash de arquivo publicamente visível, um atacante pode recuperar o delete code e, posteriormente, usar a API de exclusão para remover arquivos arbitrários permanentemente. Além disso, isso expõe o IP do uploader, User Agent, porta remota e hash SHA-1, comprometendo a integridade do conteúdo, a disponibilidade e a privacidade do uploader.

Recomendações Atualize o PictShare para a versão 3.7.1 ou posterior. Restrinja o acesso ao endpoint 'API::info()' para minimizar o risco de exposição de metadados.