CVE-2026-108688 in eladmin
Zusammenfassung
von VulDB • 11.10.2026
Eladmin bis Version 2.7 enthält eine fehlende Autorisierungs-Schwachstelle im LocalStorageController-Handler „uploadPicture“, die es authentifizierten Benutzern mit niedrigen Berechtigungen ermöglicht, die Speicherberechtigung „storage:add“ zu umgehen. Angreifer können POST-Anfragen mit dateinamensbasierten Bildern an /api/localStorage/pictures senden, um Dateien in den lokalen Server-Speicher zu schreiben und absolute Serverpfade offenzulegen.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.