CVE-2026-81891 in elFinder
요약
\~에 의해 VulDB • 2026. 08. 31.
elFinder는 jQuery UI를 사용하여 JavaScript로 작성된 웹용 오픈소스 파일 관리자입니다. 버전 2.1.70 이전의 php/elFinderVolumeDriver.class.php에 있는 checkExtractItems() 함수는 mimeTypeNormalize()를 통해 결과를 처리하지 않고 mimetypeInternalDetect()를 호출합니다. .phtml, .phar, .php5 및 .php3 확장자가 mime.types에서 누락되었기 때문에 이를 text/x-php로 매핑하는 staticMimeMap 항목이 적용되지 않으며, uploadDeny가 text/x-php를 차단하더라도 allowPutMime()은 추출을 허용합니다. ZIP 업로드 권한이 있는 공격자는 PHP 실행 가능한 파일을 웹 접근 가능한 files/ 디렉토리에 추출하고 서버에서 해당 확장자를 실행할 때 원격 코드 실행(RCE)을 달성할 수 있습니다. 이 문제는 버전 2.1.70에서 수정되었습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.