Vulnerabilidad en Piwigo (CVE-2024-48928)

Gravedad CVSS v4.0:

BAJA

Tipo:

CWE-330 Uso de valores insuficientemente aleatorios

Fecha de publicación:

24/02/2026

Última modificación:

25/02/2026

Descripción

Piwigo es una aplicación de galería de fotos de código abierto para la web. En las versiones de la rama 14.x, al instalar, el parámetro de configuración secret_key se establece en MD5(RAND()) en MySQL. Sin embargo, RAND() solo tiene 30 bits de aleatoriedad, lo que hace factible forzar la clave secreta por fuerza bruta. El token CSRF se construye parcialmente a partir de la clave secreta, y esto se puede usar para verificar si el ataque de fuerza bruta tuvo éxito. Probar todos los valores posibles toma aproximadamente una hora. El impacto de esto es limitado. La clave de inicio de sesión automático utiliza la contraseña del usuario además de la clave secreta. El token pwg utiliza el identificador de sesión del usuario además de la clave secreta. Parece que los valores para get_ephemeral_key pueden generarse cuando se conoce la clave secreta. La versión 15.0.0 contiene una solución para el problema.

Impacto

Vector 4.0

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N/E:U CVSS v4.0 Severidad y Métricas:

Puntuación base: 2.70 BAJA
Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N/E:U

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Attack Requirements (AT): Ninguno
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Confidentiality (VC): Ninguno
Integrity (VI): Bajo
Availability (VA): Ninguno
Confidentiality (SC): Ninguno
Integrity (SI): Ninguno
Availability (SA): Ninguno
Exploit Maturity (E): Unreported

Puntuación base 4.0

2.70

Gravedad 4.0

BAJA

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 7.50 ALTA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Ninguno