CVE-2026-104051

सारांश

PictShare 3.7.1 से पहले एक सूचना प्रकटीकरण भेद्यता शामिल है जो अनधिकृत हमलावरों को API::info() एंडपॉइंट को कॉल करके गुप्त delete_code और अपलोडर मेटाडेटा प्राप्त करने की अनुमति देती है, जो बिना किसी फ़ील्ड व्हाइटलिस्ट के पूर्ण कच्चा मेटाडेटा ऑब्जेक्ट लौटाता है। हमलावर सार्वजनिक रूप से दिखाई देने वाले फ़ाइल हैश का उपयोग करके info API के माध्यम से delete_code प्राप्त कर सकते हैं और फिर मनमानी फ़ाइलों को स्थायी रूप से हटाने के लिए delete API को आमंत्रित कर सकते हैं, साथ ही अपलोडर IP, User Agent, रिमोट पोर्ट, और SHA-1 हैश को भी उजागर करते हैं, जिसके परिणामस्वरूप सामग्री अखंडता, उपलब्धता, और अपलोडर गोपनीयता का नुकसान होता है।

स्रोत

• CVE-2026-104051-pictshare-info-disclosurePoC

  PictShare < 3.7.1 में info API के माध्यम से संवेदनशील जानकारी का खुलासा (CWE-522)। PoC + सलाहकार लेख।