CVE-2025-62512
Piwigo Vulnerable to User Enumeration via Password Reset Endpoint
Em resumo
A funcionalidade de reset de senha do Piwigo revela quais nomes de usuário e emails existem no sistema. Um atacante pode testar muitas contas sem fazer login, facilitando o ataque contra usuários específicos.
Detalhe técnico
O endpoint de recuperação de senha (password.php?action=lost) no Piwigo versão 15.5.0 e anteriores retorna respostas diferentes para contas existentes versus inexistentes, permitindo enumeração não autenticada de nomes de usuário e endereços de email válidos. Esta divulgação de informações (CWE-204) facilita ataques subsequentes como credential stuffing ou phishing.
Resumo gerado e traduzido por IA a partir da descrição oficial.
Piwigo is an open source photo gallery application for the web. In version 15.5.0 and likely earlier 15.x releases, the password reset functionality in Piwigo allows an unauthenticated attacker to determine whether a given username or email address exists in the system. The endpoint at password.php?action=lost returns distinct messages for valid vs. invalid accounts, enabling user enumeration. As of time of publication, no known patches are available.
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N/E:P
Produtos afetados
Piwigo · PiwigoQuer saber se a sua infraestrutura está exposta a isto?
Falar com a TrueHacking →