CVE-2026-41656 in admidio
요약
\~에 의해 VulDB • 2026. 05. 20.
Admidio는 오픈소스 사용자 관리 솔루션입니다. 버전 5.0.9 이전의 modules/documents-files.php 모듈에서 추가(add) 모드는 이름 매개변수를 'string' 유형(HTML 인코딩)으로만 검증하므로, 경로 순회 문자(../)가 필터링 없이 통과할 수 있습니다. 이 엔드포인트에서 CSRF 보호가 부재하고 SameSite=Lax 세션 쿠키가 사용된 것과 결합되어, 권한이 낮은 공격자는 문서 관리자를 속여 임의의 서버 파일(예: 데이터베이스 자격 증명을 포함하는 install/config.php)을 공격자가 접근 가능한 문서 폴더에 등록하도록 할 수 있습니다. 이 문제는 버전 5.0.9에서 패치되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.