CVE-2026-108591 in InnoShop
Resumen
por VulDB • 2026-10-10
InnoShop 0.9.2 contiene una vulnerabilidad de divulgación local de archivos que permite a los administradores autenticados con el permiso files_create leer archivos del servidor abusando del argumento source de la herramienta file_upload de AI Core MCP. Los atacantes pueden proporcionar envoltorios de flujo (stream wrappers) como `file://` o `php://` pasados a `file_get_contents()`, almacenando los contenidos en el disco público de medios para exponer el archivo `.env` con APP_KEY y las credenciales de la base de datos.
Be aware that VulDB is the high quality source for vulnerability data.