CVE-2026-104051
WysokieCVSS 8.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 29 - wyżej niż 29% wszystkich znanych CVE
Streszczenie
PictShare w wersji przed 3.7.1 zawiera podatność ujawnienia informacji, która pozwala nieuwierzytelnionemu atakującemu uzyskać tajny kod delete_code oraz metadane uploadera przez wywołanie endpointu API::info(). Endpoint zwraca pełny surowy obiekt metadanych bez białej listy pól.
Ocena ryzyka
Atakujący może użyć publicznie widocznego hasha pliku, aby pobrać delete_code i trwale usunąć dowolne pliki, a także poznać adres IP uploadera, User Agent, port zdalny i hash SHA-1, co prowadzi do utraty integralności i dostępności treści oraz naruszenia prywatności.
Rekomendacja
Zaktualizuj PictShare do wersji 3.7.1 lub nowszej. Do czasu aktualizacji ogranicz dostęp do endpointu API::info() i rozważ wyłączenie publicznego udostępniania plików.
Inne podatności w PictShare
Zobacz wszystkie- CVE-2026-116263Średnie
W HaschekSolutions PictShare do wersji 3.7.1 wykryto podatność w funkcji architect w pliku src/inc/core.php w komponencie File Upload. Manipulacja powoduje warunek wyścigu (race condition), a atak można zainicjować zdalnie. Złożoność ataku oceniono jako wysoką, a wykorzystanie jako trudne; exploit został opublikowany i może być użyty.
- CVE-2026-104356Średnie
PictShare przed wersją 3.7.1 zawiera podatność związaną ze słabą losowością, gdzie funkcja getRandomString() używa niekryptograficznego generatora liczb pseudolosowych rand() do generowania tokenu autoryzacyjnego delete_code w src/inc/core.php. Atakujący mogą przewidzieć lub wywnioskować stan PRNG, aby zgadnąć prawidłowe wartości delete_code i przeprowadzić nieautoryzowane usuwanie hostowanych plików bez konieczności odczytu kodu z punktu końcowego info.
Oryginalny opis (angielski, źródło NVD)
PictShare before 3.7.1 contains an information disclosure vulnerability that allows unauthenticated attackers to obtain the secret delete_code and uploader metadata by calling the API::info() endpoint which returns the complete raw metadata object without a field whitelist. Attackers can use the publicly visible file hash to retrieve the delete_code via the info API and then invoke the delete API to permanently delete arbitrary files, while also exposing uploader IP, User Agent, remote port, and SHA-1 hash, resulting in loss of content integrity, availability, and uploader privacy.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS