CVE-2026-27634: Piwigo: injeção de SQL pré-autenticação no filtro de datas de imagens

Visão geral

O Piwigo é uma aplicação de galeria de fotos de código aberto. Segundo o registro, quatro parâmetros de filtro de data usados por ws_std_image_sql_filter() são concatenados em SQL sem escape nem validação de tipo, configurando uma falha de injeção de SQL classificada como CWE-89. O registro descreve o problema como acessível sem autenticação nas versões anteriores à 16.3.0.

Impacto

O registro afirma que um atacante não autenticado poderia ler o banco de dados completo, incluindo hashes de senhas de usuários.
O NVD atribui pontuação base 9,8 e o GitHub atribui 8,7, ambas nas faixas crítica ou alta.
O SSVC classifica o impacto técnico como parcial, o que não corresponde totalmente à leitura do banco completo descrita no texto. Por isso, as fontes devem ser analisadas em conjunto.

Produtos e versões afetadas

Produto: Piwigo Piwigo.
Afetado: versões anteriores à 16.3.0.
Corrigido: versão 16.3.0, conforme as notas de versão e o commit de correção referenciados.

Status de exploração

A CISA KEV não lista esta CVE, e nenhuma exploração ativa confirmada aparece nas fontes consultadas.
O SSVC registra o status de exploração como 'poc', o que indica que há material de prova de conceito registrado para este problema, e não que ele seja usado em ataques.
A referência do aviso do GitHub possui a marcação 'Exploit' no registro. Essa marcação, isoladamente, não confirma exploração no mundo real.
O registro informa probabilidade EPSS de 0,00792, com percentil de 0,55902.

Correção e mitigação

Atualize o Piwigo para a versão 16.3.0 ou posterior, conforme indicado nas notas de versão e no aviso.
Até a atualização, limite a exposição pública do serviço web do Piwigo quando for operacionalmente possível, por exemplo com restrições de rede ou firewall de aplicação web.
Aplique o princípio do menor privilégio à conta de banco de dados usada pelo Piwigo e verifique se credenciais de usuários podem ter sido expostas. Renove senhas e segredos relacionados se houver suspeita de exposição.

Orientações de detecção

Analise os logs do servidor web e da aplicação em busca de requisições ao serviço de imagens com valores incomuns ou não numéricos nos quatro parâmetros de filtro de data.
Monitore a atividade do banco de dados em busca de leituras anormalmente grandes ou atípicas originadas da conta da aplicação.
Mantenha os alertas focados em anomalias, e não em cadeias de ataque específicas.

Limitações das informações disponíveis

O registro não descreve as condições exatas da requisição e não confirma se existe código de exploração público além da marcação de referência.
Não é possível determinar se outros ramos ou configurações de implantação são afetados além da faixa informada 'antes de 16.3.0'.
A data do EPSS no registro é posterior à data de publicação, por isso os valores do EPSS devem ser interpretados com cautela.

Perguntas frequentes

Quais versões do Piwigo são afetadas pela CVE-2026-27634?

O registro indica que as versões anteriores à 16.3.0 são afetadas. A versão 16.3.0 contém a correção.

Um atacante pode explorar esta falha sem fazer login?

Segundo o registro, o problema pode ser alcançado por um atacante não autenticado, o que explica a pontuação base 9,8 do NVD.

Esta vulnerabilidade está sendo explorada ativamente?

A CISA KEV não lista esta CVE, e nenhuma exploração ativa confirmada aparece nas fontes consultadas. O SSVC registra o status de exploração como prova de conceito.

O que os administradores devem fazer agora?

Atualize o Piwigo para a versão 16.3.0 ou posterior, limite a exposição pública até concluir a atualização e revise o acesso ao banco de dados e a possível exposição de credenciais.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.