Exposição de Piwigo

Photo galleries
15
score de exposição
77
sites usam
0
em exploração
2
críticos
Análise Vexday

Piwigo acumula 12 CVEs catalogadas, com 4 surgidas nos últimos 90 dias, indicando uma cadência recente de descobertas que merece atenção contínua. Nenhuma das vulnerabilidades consta no catálogo KEV da CISA, taxa abaixo da média geral do catálogo, o que sugere ausência de exploração ativa confirmada até o momento. O tipo de falha mais recorrente é CWE-89 (SQL Injection), padrão que historicamente facilita comprometimento de dados e execução não autorizada de consultas; a CVE mais relevante no momento, CVE-2023-37270, apresenta EPSS de aproximadamente 0,039, sinalizando probabilidade de exploração ainda contida, porém não desprezível. A presença de uma CVE de severidade crítica reforça a necessidade de manter o ambiente atualizado, especialmente em instâncias expostas publicamente.

CVEs

15 resultados
CVE-2023-37270HIGHPiwigo SQL Injection vulnerability in "User-Agent"EPSS 4.5%CVE-2026-27833HIGHPiwigo: Unauthenticated Information Disclosure via pwg.history.search APIEPSS 1.6%CVE-2016-3735—Piwigo is image gallery software written in PHP. When a criteria is not met on a host, piwigo defaults to usingmt_rand in order to generate EPSS 1.4%CVE-2023-44393CRITICALPiwigo Reflected XSS vulnerabilityEPSS 1.3%CVE-2012-4525—piwigo has XSS in password.phpEPSS 1.2%CVE-2012-4526—piwigo has XSS in password.php (incomplete fix for CVE-2012-4525)EPSS 1.2%CVE-2025-62512MEDIUMPiwigo Vulnerable to User Enumeration via Password Reset EndpointEPSS 0.8%CVE-2026-27634HIGHPiwigo: Pre-auth SQL injection via date filter parameters in ws_std_image_sql_filterEPSS 0.7%CVE-2026-35048CRITICALPiwigo RCE via PHP Code Injection into Config File in InstallerEPSS 0.6%CVE-2026-78187LOWPiwigo Public Authentication cross site scriptingEPSS 0.4%CVE-2026-84441MEDIUMPiwigo Image Derivative i.php path traversalEPSS 0.4%CVE-2025-62406HIGHPiwigo is vulnerable to one-click account takeover by modifying the password-reset linkEPSS 0.4%CVE-2026-27834HIGHPiwigo: SQL Injection in pwg.users.getList API Method via filter ParameterEPSS 0.4%CVE-2026-27885HIGHPiwigo: SQL Injection in Activity.getListEPSS 0.4%CVE-2024-48928LOWPiwigo's secret key can be brute forcedEPSS 0.3%