8.7
CVSS 4.0
Няма данни
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Няма потвърждение
Атакува се
Няма данни
Време до експлоатация
Атакува се по мрежата, без особени условия, без вход и без действие от потребителя.
- Експлоатация: има публичен пример за експлоатация
- Атаката може да се автоматизира
Описание
Оригинално описание
Photoview through 2.4.0 contains an SQL injection vulnerability in the album download route that allows unauthenticated attackers to inject SQL by manipulating the album_id path segment. Attackers can supply crafted SQL expressions in the album_id parameter to extract arbitrary data from the database using time-based or blind injection techniques.
Засегнати продукти
- Photoview Photoview: до 2.4.0; deb1b216e047a30803dc0f48a9fc3d4c4abda594
Вид слабост
История
- 23 септември 2026 Публикувано
Други уязвимости в Photoview Photoview
Първоизточници
- https://www.cve.org/CVERecord?id=CVE-2026-96673
- https://nvd.nist.gov/vuln/detail/CVE-2026-96673
- https://github.com/photoview/photoview/pull/1453
- https://github.com/photoview/photoview/commit/deb1b216e047a30803dc0f48a9fc3d4c4abda594
- https://github.com/photoview/photoview/blob/v2.4.0/api/routes/downloads.go#L19-L29
- https://hackmd.io/@leediay/sqli-in-download-photoview
- https://github.com/photoview/photoview
- https://www.vulncheck.com/advisories/photoview-through-2.4.0-sql-injection-via-album-download-route