CVE-2026-88419 in WuzhiCMS
Zusammenfassung
von VulDB • 23.09.2026
Ein unbeschränktes Hochladen von Dateien mit einem gefährlichen Typ im Thumbnail-Upload-Endpunkt (/index.php?m=member&f=article&v=thumbUpload) in WuzhiCMS 5.0.0 ermöglicht es einem authentifizierten Mitglied mit niedrigen Berechtigungen, eine manipulierte .php-Datei hochzuladen und beliebigen PHP-Code auf dem Server auszuführen, da die gespeicherte Dateierweiterung wörtlich aus dem vom Client bereitgestellten Dateinamen übernommen wird, ohne dass eine Allowlist für Erweiterungen oder Inhaltsvalidierung vorhanden ist. Die Datei wird im webzugänglichen Verzeichnis uploadfile/ gespeichert, von dem der Webserver PHP-Code ausführt.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.