CVE-2026-81891
WysokieCVSS 8.1Streszczenie
W elFinder (menedżerze plików dla web) przed wersją 2.1.70 istnieje podatność, która pozwala na ominięcie ograniczeń dotyczących typów plików podczas rozpakowywania archiwów. Funkcja checkExtractItems() nie normalizuje typu MIME, przez co pliki z rozszerzeniami .phtml, .phar, .php5 i .php3 mogą zostać rozpakowane, nawet jeśli uploadDeny blokuje typ text/x-php. Atakujący z uprawnieniami do przesyłania ZIP może umieścić pliki PHP w katalogu dostępnym z sieci i uzyskać zdalne wykonanie kodu. Problem został naprawiony w wersji 2.1.70.
Ocena ryzyka
Osoba atakująca może uzyskać zdalne wykonanie kodu na serwerze, co może prowadzić do pełnej kompromitacji systemu.
Rekomendacja
Zaktualizuj elFinder do wersji 2.1.70 lub nowszej, która zawiera poprawkę tej podatności.
Inne podatności w elFinder
Zobacz wszystkie- CVE-2026-81890Średnie
elFinder przed wersją 2.1.70 nie chroni komendy netmount przed atakami CSRF, ponieważ nie jest ona uwzględniona w liście chronionych komend. W domyślnej konfiguracji FTP network mounts są włączone, a atakujący może kontrolować parametry takie jak protokół, host, port, użytkownik, hasło, co pozwala na trwałe zamontowanie wybranego przez atakującego serwera FTP w sesji ofiary i wysyłanie poświadczeń bez tokena CSRF.
- CVE-2026-81889Wysokie
W elFinder przed wersją 2.1.70 istnieje podatność na atak SSRF (Server-Side Request Forgery) podczas przesyłania plików z URL. Gdy PHP cURL jest niedostępny, walidacja adresu IP może zostać ominięta przez DNS rebinding, co pozwala na połączenie z wewnętrznymi adresami. Dodatkowo, nawet przy użyciu cURL, istnieje możliwość wykonania ślepego SSRF. Problem został naprawiony w wersji 2.1.70.
- CVE-2024-38909Krytyczne
Studio 42 elFinder w wersji 2.1.64 zawiera podatność związaną z nieprawidłową kontrolą dostępu. Kopiowanie plików z nieautoryzowanym rozszerzeniem między katalogami serwera umożliwia atakującemu ujawnienie tajemnic oraz wykonanie zdalnego kodu (RCE).
Oryginalny opis (angielski, źródło NVD)
elFinder is an open-source file manager for web, written in JavaScript using jQuery UI. Prior to 2.1.70, checkExtractItems() in php/elFinderVolumeDriver.class.php calls mimetypeInternalDetect() without passing the result through mimeTypeNormalize(). Because the .phtml, .phar, .php5, and .php3 extensions are absent from mime.types, the staticMimeMap entries that map them to text/x-php are not applied, and allowPutMime() permits extraction even when uploadDeny blocks text/x-php. An attacker with ZIP upload permission can extract PHP-executable files into a web-accessible files/ directory and achieve remote code execution when the server executes those extensions. This issue is fixed in version 2.1.70.