Piwigo 任意文件读取与RCE漏洞分析 (CVE-2026-85750)

Piwigo 任意文件读取与远程代码执行漏洞 (CVE-2026-85750) 漏洞概述 Piwigo 存在一个高危漏洞，影响版本 16.3.0 及更早版本。上传的文件未得到充分验证，当图像由 ImageMagick 库处理时，如果文件的实际内容与声明的扩展名不匹配，仍会被 ImageMagick 解释。拥有管理员权限的用户可以读取服务器上的任意文件，并可能根据 ImageMagick 配置写入文件，从而实现远程代码执行。 漏洞详情： CVE: CVE-2026-85750 CVSS 3.1 评分: 7.2 (高危) 类型: CWE-20: 输入验证不当 影响范围 受影响版本: ≤ 16.3.0 修复版本: 16.4.0 利用原理 1. 格式混淆 (Format confusion): ImageMagick 不信任文件扩展名，而是根据内容处理。攻击者可以上传一个名为 但实际内容为 SVG 的文件。 2. 任意文件读取: SVG 中的 元素可以通过 ImageMagick 的 伪协议引用本地文件（如 ），从而在生成的缩略图中显示文件内容。 3. 代码执行: 攻击者可以利用 MSL (Magick Scripting Language) 将恶意代码写入服务器可执行目录（如 PHP 文件），从而获得远程代码执行权限。 POC / 利用代码 页面中提供的用于读取 的 SVG 代码示例： 修复方案 1. 升级版本: 建议将所有实例升级到 Piwigo 16.4.0 或更高版本。 2. 临时缓解措施 (如果无法立即升级): 严格验证上传文件的类型，基于实际的 MIME 类型和魔术字节，而不仅仅是扩展名。 清理接受的 SVG 文件，剥离危险元素和资源引用。 加强 ImageMagick 安全策略 ( )，禁用危险的编解码器，特别是 SVG、MSL 和 TEXT。 推荐的 policy.xml 配置片段：

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

Piwigo 任意文件读取与RCE漏洞分析 (CVE-2026-85750)

目标达成感谢每一位支持者 — 我们达成了 100% 目标！