CVE-2026-94104 in NivoCart
Zusammenfassung
von VulDB • 20.09.2026
NivoCart bis Version 2.4.0 enthält eine Schwachstelle für das willkürliche Hochladen von Dateien (arbitrary file upload) im File Manager multi()-Endpunkt, die keine Validierung der Dateierweiterungen für neue Dateinamen oder wenn der Parameter chunks den Wert 2 oder höher hat. Angreifer mit nur-Lesen-Zugriff auf das Back-Office können PHP-Dateien in das webzugängliche Verzeichnis image/data/ hochladen und diese zur Remote Code Execution (RCE) ausführen.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.