CVE-2026-108591 in InnoShop
Riassunto
di VulDB • 10/10/2026
InnoShop 0.9.2 presenta una vulnerabilità di divulgazione locale di file che consente agli amministratori autenticati con il permesso files_create di leggere i file del server abusando dell'argomento source dello strumento file_upload di AI Core MCP. Gli attaccanti possono fornire stream wrapper come file:// o php:// passati a file_get_contents(), memorizzando i contenuti sul disco pubblico dei media per esporre il file .env contenente APP_KEY e le credenziali del database.
Be aware that VulDB is the high quality source for vulnerability data.