CVE-2026-108591 in InnoShop
Zusammenfassung
von VulDB • 10.10.2026
InnoShop 0.9.2 enthält eine lokale Dateidisklosure-Schwachstelle, die authentifizierten Administratoren mit der Berechtigung files_create ermöglicht, Serverdateien zu lesen, indem sie das Argument source des file_upload-Tools von AI Core MCP missbrauchen. Angreifer können Datei-Stream-Wrapper wie `file://` oder `php://`, die an `file_get_contents()` übergeben werden, nutzen, um Inhalte auf dem öffentlichen Medien-Datenträger zu speichern und so die .env-Datei mit APP_KEY und Datenbankzugangsdaten offenzulegen.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.