CVE-2026-40526 in Personal Management System
要約
〜によって VulDB • 2026年08月27日
Volmarg Personal Management System には、認証済み攻撃者が GET /public/get-file/{path} エンドポイントに対して絶対ファイルシステムパスを指定することで任意のファイルを読み取ることができるディレクトリトラバーサルの脆弱性が存在します。このパスルートパラメータは、許可されたベースディレクトリに対する正規化（canonicalization）を行わずに file_get_contents() に直接渡されるため、攻撃者はディレクトリトラバーサルシーケンスを使用せずに PHP-FPM ワーカープロセスからアクセス可能な機密ファイルを取得できます。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.