Pubblicato il 2026-07-20 · Fonte: NVD NIST
La vulnerabilità CVE-2026-35048 colpisce il sistema di installazione di Piwigo, versioni 16.3.0 e precedenti. Il problema deriva dall'accettazione di parametri POST per la configurazione del database senza una corretta sanificazione, permettendo a un attaccante non autenticato di iniettare codice PHP arbitrario. Ciò avviene perché la protezione fornita da `addslashes()` viene bypassata in PHP 8+, a causa della rimozione della funzione `get_magic_quotes_gpc()`. Questa vulnerabilità è classificata come critica con un punteggio CVSS di 9.8.
Un attaccante può sfruttare questa vulnerabilità per iniettare codice PHP arbitrario, che verrà eseguito ad ogni caricamento della pagina. Ciò può portare a un controllo completo del sistema, permettendo all'attaccante di eseguire azioni dannose come la modifica dei dati, l'accesso non autorizzato e la distribuzione di malware. I sistemi a rischio sono quelli che utilizzano Piwigo con versioni di installazione 16.3.0 o precedenti.
Vendor: N/A
Prodotti: N/A
Per mitigare questa vulnerabilità, si consiglia di aggiornare Piwigo alla versione più recente disponibile. In assenza di un aggiornamento, è importante assicurarsi che tutti gli input utente siano sanificati e validati correttamente prima di essere utilizzati nella configurazione del database. Inoltre, è fondamentale mantenere un monitoraggio costante della sicurezza del sistema e implementare misure di protezione come il controllo degli accessi e la registrazione degli eventi di sicurezza.
La vulnerabilità CVE-2026-35048 è una vulnerabilità critica nel sistema di installazione di Piwigo che permette l'iniezione di codice PHP arbitrario.
L'impatto di questa vulnerabilità può portare a un controllo completo del sistema da parte dell'attaccante, con la possibilità di eseguire azioni dannose.
Per proteggersi da questa vulnerabilità, è necessario aggiornare Piwigo alla versione più recente disponibile e assicurarsi che tutti gli input utente siano sanificati e validati correttamente.
Vuoi approfondire la cybersecurity? Scopri il libro "Ethical Hacker per Tutti" oppure prenota una lezione online.