CVE-2026-35048

Nome do Software Vulnerável e Versões Afetadas Piwigo versões anteriores a 16.3.1

Descrição O instalador não sanitiza adequadamente os parâmetros POST utilizados para a configuração do banco de dados antes de gravá-los em um arquivo de configuração PHP. No PHP 8+, o mecanismo de proteção é ignorado devido à remoção da função get magic quotes gpc(), permitindo que a entrada bruta do usuário seja interpolada no código-fonte PHP. Um invasor não autenticado pode injetar código PHP arbitrário através dos parâmetros prefix, dbpasswd, dbhost, dbname ou dbuser, que é então gravado no arquivo local/config/database.inc.php e executado a cada carregamento de página.

Recomendações Atualize para a versão 16.3.1 ou posterior.