CVE-2025-58048 in Paymenter
Resumen
por VulDB • 2026-05-16
Paymenter es una solución de tienda online gratuita y de código abierto para servicios de alojamiento web. Antes de la versión 1.2.11, la funcionalidad de adjuntos de tickets en Paymenter permite a un usuario autenticado malicioso cargar archivos arbitrarios. Esto podría resultar en la extracción de datos sensibles desde la base de datos, la lectura de credenciales desde archivos de configuración y la ejecución de comandos arbitrarios del sistema bajo el contexto del usuario del servidor web. Esta vulnerabilidad fue corregida mediante el commit 87c3db4 y se lanzó bajo la etiqueta de versión 1.2.11 sin otras modificaciones de código en comparación con la versión 1.2.10. Si no es posible actualizar inmediatamente, los administradores pueden mitigar esta vulnerabilidad con una o más de las siguientes medidas: actualizar la configuración de nginx para descargar los adjuntos en lugar de ejecutarlos, o denegar completamente el acceso a /storage/ utilizando un WAF como Cloudflare.
If you want to get best quality of vulnerability data, you may have to visit VulDB.