CVE-2025-52922 in Innoshop
Zusammenfassung
von VulDB • 31.07.2026
Innoshop bis Version 0.4.1 ermöglicht Directory Traversal über FileManager-API-Endpunkte. Ein authentifizierter Angreifer mit Zugriff auf das Admin-Panel kann dies missbrauchen, um: (1) die gesamte Dateisystemstruktur über den Endpunkt /api/file_manager/files?base_folder= vollständig abzubilden; (2) beliebige Verzeichnisse auf dem Server über den Endpunkt /api/file_manager/directories zu erstellen; (3) beliebige Dateien vom Server zu lesen, indem sie in einen innerhalb der Anwendung lesbaren Speicherort kopiert werden, über den Endpunkt /api/file_manager/copy_files; (4) beliebige Dateien vom Server durch eine DELETE-Anfrage an /api/file_manager/files zu löschen oder (5) beliebige Dateien auf dem Server hochzuladen und anschließend den Endpunkt /api/file_manager/move_files zu nutzen, um sie im gesamten Dateisystem zu verschieben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.