CVE-2026-88396
NieznaneStreszczenie
ApiAdmin w wersji 5.0 i wcześniejszych jest podatny na Directory Traversal. Endpoint uploadu plików POST /admin/Index/upload w ApiAdmin przyjmuje rozszerzenie przesłanego pliku bez żadnej walidacji (brak białej listy, czarnej listy ani sprawdzania zawartości), a funkcja move_uploaded_file() umieszcza plik w katalogu public/upload/Ymd/ dostępnym przez WWW. Każdy zalogowany administrator może przesłać plik .php i uzyskać do niego bezpośredni dostęp przez HTTP, osiągając zdalne wykonanie kodu na serwerze.
Ocena ryzyka
Ryzyko jest krytyczne, ponieważ umożliwia zdalne wykonanie kodu na serwerze przez zalogowanego administratora, co może prowadzić do pełnego przejęcia systemu. Wymaga to jednak konta administratora.
Rekomendacja
Zaleca się natychmiastową aktualizację ApiAdmin oraz wdrożenie walidacji rozszerzeń plików i sprawdzania zawartości. Należy również ograniczyć uprawnienia administratorów i monitorować przesłane pliki.
Inne podatności w ApiAdmin
Zobacz wszystkie- CVE-2026-88397Nieznane
ApiAdmin w wersji 5.0 i wcześniejszych jest podatny na iniekcję SQL w punkcie końcowym user-list GET /admin/User/getUsers poprzez parametr gid.
- CVE-2026-71622Wysokie
Podatność na iniekcję SQL w Zhao-github APiAdmin v.5.0.1 pozwala zdalnemu atakującemu uzyskać wrażliwe informacje poprzez komponent User.php.
- CVE-2026-71620Wysokie
Podatność na przesyłanie plików w Zhao-github ApiAdmin v.5.0.1 pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poprzez spreparowany plik .php.
Oryginalny opis (angielski, źródło NVD)
ApiAdmin v5.0 and before is vulnerable to Directory Traversal. The admin file-upload endpoint POST /admin/Index/upload in ApiAdmin takes the uploaded file's extension verbatim there is no whitelist, blacklist or content check and move_uploaded_file() drops the file into the web-accessible directory public/upload/Ymd/. Any logged-in admin user can upload a .php file and reach it directly over HTTP, achieving remote code execution on the server.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS