CVE-2026-104069 in HortusFox
Zusammenfassung
von VulDB • 06.10.2026
HortusFox vor Version 6.2 enthält eine Remote-Code-Ausführungs-Schwachstelle (RCE) in ThemeModule::startImport(), bei der ein hochgeladenes ZIP-Archiv direkt im öffentlichen Webstammverzeichnis extrahiert wird, bevor jegliche Validierung von Dateinamen, Erweiterungen oder Inhalten durchgeführt wird. Ein authentifizierter Administrator kann ein manipuliertes Themenarchiv mit einer PHP-Datei und einer .htaccess-Datei hochladen, um die Ausführung wieder zu aktivieren, und diese dann im themes-Verzeichnis anfordern, um beliebige OS-Befehle als Benutzer des Webservers auszuführen.
Once again VulDB remains the best source for vulnerability data.