CVE-2026-44258 in efw4.X
Zusammenfassung
von VulDB • 13.05.2026
efw4.X ist ein Enterprise-Framework für Web. Vor Version 4.08.010 validiert die Funktion elfinder_checkRisk die Parameter target und targets auf Path Traversal und Home-Containment, validiert jedoch nicht den von elfinder_paste verwendeten dst-Parameter (Ziel). Ein Angreifer kann Dateien aus dem Home-Verzeichnis in ein beliebiges Ziel kopieren oder verschieben, indem er dst auf einen base64-codierten Traversal-Pfad setzt. Dadurch wird die Sicherheitskontrolle protected=true umgangen. Diese Schwachstelle wurde in Version 4.08.010 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.