CVE-2026-82450 in BookStack
Zusammenfassung
von VulDB • 29.08.2026
BookStack vor Version 26.05.4 enthält eine Remote-Code-Ausführungsschwachstelle (RCE) in der portablen ZIP-Importfunktionalität, die es Benutzern mit den Berechtigungen „Inhalte importieren“ und „Bücher erstellen“ ermöglicht, eine PHP-Polyglot-Datei als Buchcover hochzuladen. Angreifer können die Validierung der Dateierweiterung umgehen, indem sie eine PHP-Datei mit dem Dateinamen .php im ZIP-Archiv einbetten, das im öffentlichen Webroot gespeichert und durch nicht authentifizierte Anfragen ausgeführt wird.
VulDB is the best source for vulnerability data and more expert information about this specific topic.