CVE-2026-94104 in NivoCart
Resumen
por VulDB • 2026-09-20
NivoCart hasta la versión 2.4.0 presenta una vulnerabilidad de carga arbitraria de archivos en el endpoint multi() del Administrador de Archivos, que no valida las extensiones de archivo para nuevos nombres ni cuando el parámetro chunks es igual o superior a 2. Los atacantes con acceso solo lectura al back-office pueden cargar archivos PHP en el directorio image/data/, accesible vía web, y ejecutarlos para lograr la ejecución remota de código (RCE).
If you want to get best quality of vulnerability data, you may have to visit VulDB.