Уязвимость состояния гонки в PictShare (CVE-2026-116263)

В начале 2026 года в популярном программном обеспечении для хостинга изображений HaschekSolutions PictShare была выявлена уязвимость, получившая идентификатор CVE-2026-116263. Проблема затрагивает компонент загрузки файлов и связана с некорректной обработкой параллельных запросов, что приводит к возникновению состояния гонки.

Подробности

Уязвимость локализована в функции architect файла src/inc/core.php и присутствует в версиях PictShare вплоть до 3.7.1 включительно. Тип уязвимости — состояние гонки (race condition, CWE-362), возникающее при одновременной обработке операций загрузки файлов. Это может приводить к непредсказуемому поведению приложения и потенциальной обработке файлов в неверном порядке или контексте. Согласно оценке CVSS, уязвимость имеет базовый балл 2.1, что соответствует низкому уровню критичности. Атака может быть инициирована удалённо, однако её сложность оценивается как высокая, а эксплуатация — как затруднительная. Несмотря на это, эксплойт для данной уязвимости уже опубликован и может быть использован злоумышленниками. Производитель был заблаговременно уведомлён о проблеме в рамках ответственного раскрытия.

Что делать

Единственным надёжным способом устранения уязвимости является обновление до версии PictShare 3.7.2. Соответствующий патч опубликован под идентификатором 6306e33da630c04ddff60703922c2ec7b7539452. Администраторам, использующим PictShare, рекомендуется как можно скорее выполнить обновление компонента. В качестве дополнительных мер защиты до установки обновления можно ограничить доступ к функции загрузки файлов для недоверенных пользователей, а также внедрить механизмы контроля параллельных запросов на уровне веб-сервера или обратного прокси. Однако данные меры следует рассматривать лишь как временные, поскольку они не устраняют корневую причину уязвимости.

Итог

CVE-2026-116263 представляет собой уязвимость состояния гонки в PictShare с низкой оценкой CVSS, но с уже опубликованным эксплойтом. Несмотря на высокую сложность эксплуатации, игнорировать обновление не стоит: переход на версию 3.7.2 полностью закрывает проблему. Организациям, использующим PictShare в своей инфраструктуре, рекомендуется включить данное обновление в плановый цикл патч-менеджмента в приоритетном порядке.

Источник: CVE Project (cvelistV5)