CVE-2026-104051
PictShare < 3.7.1 الكشف عن معلومات حساسة عبر واجهة info API
- تم النشر
- 01/10/2026
- محدث
- 06/10/2026
- تخصيص CNA
- VulnCheck
- الأدلة المرصودة
- 03/10/2026
CVSS الأساسي
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:Xمنخفض · الثلاثين يومًا القادمة
- المئوية
- 41.4%
- تاريخ الموديل
- 25/10/2026
EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.
ملخص
يحتوي PictShare قبل الإصدار 3.7.1 على ثغرة إفصاح عن المعلومات تسمح للمهاجمين غير المصادق عليهم بالحصول على delete_code السري وبيانات التعريف الخاصة بالرافع من خلال استدعاء نقطة النهاية API::info() التي تُرجع كائن بيانات التعريف الخام الكامل دون قائمة بيضاء للحقول. يمكن للمهاجمين استخدام تجزئة الملف المرئية للعموم لاسترداد delete_code عبر واجهة info API ثم استدعاء واجهة delete API لحذف ملفات عشوائية نهائيًا، مع كشف عنوان IP الخاص بالرافع وUser Agent والمنفذ البعيد وتجزئة SHA-1، مما يؤدي إلى فقدان سلامة المحتوى وتوافره وخصوصية الرافع.
المصادر
الكشف عن معلومات حساسة عبر info API في PictShare < 3.7.1 (CWE-522). PoC + تقرير استشاري.
الاستخدام المسؤول
استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.