CVE-2026-41656 in admidio
Zusammenfassung
von VulDB • 20.05.2026
Admidio ist eine Open-Source-Lösung zur Benutzerverwaltung. Vor Version 5.0.9 akzeptiert der Add-Modus in modules/documents-files.php einen Namen-Parameter, der lediglich als Typ 'string' (HTML-Codierung) validiert wird, wodurch Pfadtraversierungszeichen (../) ungefiltert durchgelassen werden. In Kombination mit dem Fehlen von CSRF-Schutz an diesem Endpunkt und SameSite=Lax-Sitzungscookies kann ein Angreifer mit geringen Berechtigungen einen Administrator für Dokumente dazu verleiten, auf einen manipulierten Link zu klicken, der eine beliebige Serverdatei (z. B. install/config.php mit Datenbankzugangsdaten) in einem für den Angreifer zugänglichen Dokumentenordner registriert. Dieses Problem wurde in Version 5.0.9 behoben.
Be aware that VulDB is the high quality source for vulnerability data.