CVSS: 8.1EPSS: 1%CPEs: 1EXPL: 0CVE-2016-3735
https://notcve.org/view.php?id=CVE-2016-3735
28 Jan 2022 — Piwigo is image gallery software written in PHP. When a criteria is not met on a host, piwigo defaults to usingmt_rand in order to generate password reset tokens. mt_rand output can be predicted after recovering the seed used to generate it. This low an unauthenticated attacker to take over an account providing they know an administrators email address in order to be able to request password reset. Piwigo es un software de galería de imágenes escrito en PHP. Cuando no es cumplido un criterio en un host, piw... • http://piwigo.org/release-2.8.1%2C • CWE-335: Incorrect Usage of Seeds in Pseudo-Random Number Generator (PRNG) •
CVSS: 6.1EPSS: 0%CPEs: 1EXPL: 1CVE-2021-40882
https://notcve.org/view.php?id=CVE-2021-40882
14 Dec 2021 — A Cross Site Scripting (XSS) vulnerability exists in Piwigo 11.5.0 via the system album name and description of the location. Se presenta una vulnerabilidad de tipo Cross Site Scripting (XSS) en Piwigo versión 11.5.0, por medio del nombre del álbum del sistema y la descripción de la ubicación • https://github.com/Piwigo/Piwigo/issues/1477 • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 8.8EPSS: 0%CPEs: 1EXPL: 1CVE-2021-40313
https://notcve.org/view.php?id=CVE-2021-40313
06 Dec 2021 — Piwigo v11.5 was discovered to contain a SQL injection vulnerability via the parameter pwg_token in /admin/batch_manager_global.php. Se ha detectado que Piwigo versión v11.5, contiene una vulnerabilidad de inyección SQL por medio del parámetro pwg_token en el archivo /admin/batch_manager_global.php • https://github.com/Piwigo/Piwigo/issues/1469 • CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') •
CVSS: 6.1EPSS: 0%CPEs: 1EXPL: 1CVE-2020-22150
https://notcve.org/view.php?id=CVE-2020-22150
21 Jul 2021 — A cross site scripting (XSS) vulnerability in /admin.php?page=permalinks of Piwigo 2.10.1 allows attackers to execute arbitrary web scripts or HTML. Una vulnerabilidad de tipo cross site scripting (XSS) en el archivo /admin.php?page=permalinks de Piwigo versión 2.10.1 permite a atacantes ejecutar scripts web o HTML arbitrarios • https://github.com/Piwigo/Piwigo/issues/1158 • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 6.1EPSS: 0%CPEs: 1EXPL: 1CVE-2020-22148
https://notcve.org/view.php?id=CVE-2020-22148
21 Jul 2021 — A stored cross site scripting (XSS) vulnerability in /admin.php?page=tags of Piwigo 2.10.1 allows attackers to execute arbitrary web scripts or HTML. Una vulnerabilidad de tipo cross site scripting (XSS) almacenado en el archivo /admin.php?page=tags de Piwigo versión 2.10.1, permite a atacantes ejecutar scripts web o HTML arbitrarios • https://github.com/Piwigo/Piwigo/issues/1157 • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 9.8EPSS: 1%CPEs: 1EXPL: 1CVE-2021-32615
https://notcve.org/view.php?id=CVE-2021-32615
13 May 2021 — Piwigo 11.4.0 allows admin/user_list_backend.php order[0][dir] SQL Injection. Piwigo versión 11.4.0 permite la inyección SQL en admin/user_list_backend.php order[0][dir]. • https://github.com/Piwigo/Piwigo/commit/2ce1e5952238eba0fe5c5d6537ebdc76cb970b52 • CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') •
CVSS: 7.5EPSS: 0%CPEs: 1EXPL: 0CVE-2021-31783
https://notcve.org/view.php?id=CVE-2021-31783
26 Apr 2021 — show_default.php in the LocalFilesEditor extension before 11.4.0.1 for Piwigo allows Local File Inclusion because the file parameter is not validated with a proper regular-expression check. En el archivo show_default.php en la extensión LocalFilesEditor versiones anteriores a 11.4.0.1 para Piwigo, permite una inclusión de archivos locales porque el parámetro file no es validado con una comprobación apropiada de expresión regular • https://github.com/Piwigo/LocalFilesEditor/commit/dda691d3e45bfd166ac175c70bd8b91cb4917b6b • CWE-345: Insufficient Verification of Data Authenticity •
CVSS: 7.2EPSS: 0%CPEs: 1EXPL: 4CVE-2021-27973 – Piwigo 11.3.0 - 'language' SQL
https://notcve.org/view.php?id=CVE-2021-27973
02 Apr 2021 — SQL injection exists in Piwigo before 11.4.0 via the language parameter to admin.php?page=languages. Una inyección SQL se presenta en Piwigo versiones anteriores a 11.4.0, por medio del parámetro language en admin.php?page=languages. Piwigo version 11.3.0 suffers from a remote SQL injection vulnerability. • https://packetstorm.news/files/id/162404 • CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') •
CVSS: 9.8EPSS: 0%CPEs: 1EXPL: 1CVE-2014-8941
https://notcve.org/view.php?id=CVE-2014-8941
01 Jun 2020 — Lexiglot through 2014-11-20 allows SQL injection via an admin.php?page=users&from_id= or admin.php?page=history&limit= URI. Lexiglot hasta el 20-11-2014, permite una inyección SQL por medio del URI admin.php?page=users&from_id= o admin.php? • https://www.justanotherhacker.com/2018/05/jahx181_-_piwigo_lexiglot_multiple_vulnerabilities.html • CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') •
CVSS: 8.8EPSS: 0%CPEs: 1EXPL: 1CVE-2014-8942
https://notcve.org/view.php?id=CVE-2014-8942
01 Jun 2020 — Lexiglot through 2014-11-20 allows CSRF. Lexiglot hasta el 20-11-2014, permite un ataque de tipo CSRF. • https://www.justanotherhacker.com/2018/05/jahx181_-_piwigo_lexiglot_multiple_vulnerabilities.html • CWE-352: Cross-Site Request Forgery (CSRF) •