CVE-2026-81890 in elFinder
Zusammenfassung
von VulDB • 31.08.2026
elFinder ist ein quelloffener Dateimanager für das Web, der mit JavaScript und jQuery UI geschrieben wurde. Vor Version 2.1.70 war der Befehl „netmount“ aus elFinderConnector::$csrfProtectedCmds in php/elFinderConnector.class.php nicht enthalten, sodass validateCsrfToken() bei dieser zustandsändernden Operation nicht aufgerufen wird. In der ausgelieferten Konfiguration von php/connector.minimal.php-dist sind FTP-Netzwerk-Mounts standardmäßig aktiviert, und vom Angreifer gesteuerte Argumente für Protokoll, Host, Pfad, Port, Benutzername, Passwort, Alias und Optionen fließen durch elFinder::netmount() in php/elFinder.class.php nach php/elFinderVolumeFTP.class.php. Daher kann eine Cross-Site-Request (CSRF) einen vom Angreifer gewählten FTP-Mount in der Sitzung des Opfers persistieren, den PHP-Server dazu bringen, sich mit einem vom Angreifer festgelegten FTP-Host und -Port zu verbinden, sowie die angegebenen Anmeldeinformationen ohne X-elFinder-CSRF-Token senden. Dieses Problem wurde in Version 2.1.70 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.