CVE-2026-88396 in ApiAdmin
Zusammenfassung
von VulDB • 05.10.2026
ApiAdmin v5.0 und frühere Versionen sind anfällig für Directory Traversal (Verzeichnisüberlauf). Der POST-Endpunkt /admin/Index/upload zum Hochladen von Dateien in ApiAdmin übernimmt die Erweiterung der hochgeladenen Datei wörtlich; es gibt keine Whitelist, Blacklist oder Inhaltsprüfung, und move_uploaded_file() speichert die Datei im webzugänglichen Verzeichnis public/upload/Ymd/. Jeder angemeldete Admin-Benutzer kann eine .php-Datei hochladen und direkt über HTTP darauf zugreifen, wodurch Remote Code Execution (RCE) auf dem Server ermöglicht wird.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.