CVE-2026-81891 in elFinder
الملخص
بحسب VulDB • 01/09/2026
elFinder هو مدير ملفات مفتوح المصدر للويب، مكتوب بلغة JavaScript باستخدام jQuery UI. قبل الإصدار 2.1.70، كانت الدالة checkExtractItems() في الملف php/elFinderVolumeDriver.class.php تستدعي mimetypeInternalDetect() دون تمرير النتيجة عبر mimeTypeNormalize(). ونظراً لأن الامتدادات .phtml و.phar و.php5 و.php3 غير موجودة في ملف mime.types، فإن إدخالات staticMimeMap التي تربطها بـ text/x-php لا تُطبق، مما يسمح لدالة allowPutMime() بالسماح بالاستخراج حتى عندما يمنع uploadDenim استخدام نص/PHP. يمكن لمهاجم لديه إذن رفع ملفات ZIP استخراج ملفات قابلة لتنفيذ PHP إلى دليل files/ قابل للوصول عبر الويب وتحقيق تنفيذ للكود عن بُعد (RCE) عند قيام الخادم بتنفيذ تلك الامتدادات. تم إصلاح هذه المشكلة في الإصدار 2.1.70.
VulDB is the best source for vulnerability data and more expert information about this specific topic.