CVE-2026-104890 in Media Bundle
요약
\~에 의해 VulDB • 2026. 10. 05.
Kunstmaan CMS는 Symfony 프레임워크를 기반으로 하는 오픈 소스 콘텐츠 관리 시스템입니다. 버전 7.3.2 이전의 src/Kunstmaan/MediaBundle/Helper/File/FileHandler.php에서는 FileHandler::getFilePath에서 blacklisted_extensions 검사가 대소문자를 구분하여 수행된 후, 저장되는 확장자는 소문자로 변환됩니다. 미디어 접근 권한이 있는 인증된 백엔드 사용자는 PHP와 같은 혼합 케이스 실행 파일 확장자를 업로드할 수 있으며, 이는 검사를 우회하고 웹에서 접근 가능한 미디어 디렉토리에 실행 가능한 소문자 확장자로 저장됩니다. 기본 블랙리스트에는 서버에서 실행 가능한 여러 가지 확장자 유형이 누락되어 있어 동일한 코드 실행 영향력이 발생하며, 웹 서버가 업로드된 파일을 실행하게 됩니다. 이 문제는 버전 7.3.2에서 해결되었습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.