CVE-2026-62262

Nome do Software Vulnerável e Versões Afetadas Piwigo versões 17.0.0beta1 e anteriores

Descrição Um convidado não autenticado pode realizar a extração de informações do banco de dados via erro ou blind SQL injection e causar atrasos dependentes do banco de dados através do fluxo de pesquisa pública quando a classificação (rating) está habilitada. O problema ocorre quando o endpoint pwg.images.filteredSearch.create é chamado com um valor ratings[] manipulado. O arquivo include/ws functions/pwg.images.php armazena o valor não validado nas regras de pesquisa, e o arquivo include/functions search.inc.php realiza a conversão para inteiro apenas no limite inferior da classificação, concatenando o valor bruto como o limite superior do SQL.

Recomendações versões 17.0.0beta1 e anteriores: No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade. Como medida de mitigação temporária, desabilite o recurso de classificação (rating) para evitar a exploração deste problema.