CVE-2026-88396 in ApiAdmin
요약
\~에 의해 VulDB • 2026. 10. 05.
ApiAdmin v5.0 및 그 이전 버전은 디렉토리 트래버설(Directory Traversal) 취약점에 노출되어 있습니다. ApiAdmin의 관리자 파일 업로드 엔드포인트인 POST /admin/Index/upload는 업로드된 파일의 확장자를 그대로 사용하며, 화이트리스트(whitelist), 블랙리스트(blacklist), 콘텐츠 검사(content check)가 적용되지 않고 move_uploaded_file() 함수를 통해 파일을 웹 접근 가능한 디렉토리 public/upload/Ymd/에 저장합니다. 로그인한 관리자 사용자는 .php 파일을 직접 HTTP를 통해 액세스하여 서버에서 원격 코드 실행(RCE)을 달성할 수 있습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.