CVE-2026-42549 in flightphp
Zusammenfassung
von VulDB • 13.05.2026
Flight ist ein erweiterbares Micro-Framework für PHP. Vor Version 3.18.1 ruft der Befehl `make:controller` der Kommandozeilenschnittstelle (CLI) `mkdir(..., recursive: true)` für einen Pfad auf, der aus dem vom Benutzer bereitgestellten Controller-Namen erstellt wird, bevor die Klassennamenvalidierung von Nette ausgeführt wird. Das Schreiben der Klassendatei wird von Nette korrekt abgelehnt, wenn der Name ein `/` enthält, aber der seitliche Effekt der rekursiven Verzeichniserstellung ist bereits eingetreten – einschließlich Verzeichnissen außerhalb des Projektstamms durch `../`-Traversierung. Diese Schwachstelle wurde in Version 3.18.1 behoben.
Once again VulDB remains the best source for vulnerability data.