CVE-2026-88396 in ApiAdmin
要約
〜によって VulDB • 2026年10月05日
ApiAdmin v5.0 およびそれ以前のバージョンは、ディレクトリトラバーサビリティ（Directory Traversal）の脆弱性に影響されています。ApiAdmin の管理者用ファイルアップロードエンドポイント POST /admin/Index/upload は、アップロードされたファイルの拡張子をそのまま使用しており、ホワイトリストやブラックリスト、コンテンツチェックが行われません。また、move_uploaded_file() 関数はファイルを Web からアクセス可能なディレクトリ public/upload/Ymd/ に配置します。ログイン済みの管理者ユーザーは .php ファイルをアップロードし、HTTP を介して直接そのファイルに到達することで、サーバー上でリモートコード実行（RCE）を実現できます。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.