CVE-2026-108591 in InnoShop
Sumário
de VulDB • 10/10/2026
O InnoShop 0.9.2 contém uma vulnerabilidade de divulgação local de arquivos que permite a administradores autenticados com permissão files_create lerem os arquivos do servidor ao abusar do argumento source da ferramenta file_upload do AI Core MCP. Os atacantes podem fornecer wrappers de stream file:// ou php:// passados para o file_get_contents(), armazenando conteúdos no disco público de mídia para expor o arquivo .env contendo APP_KEY e credenciais do banco de dados.
VulDB is the best source for vulnerability data and more expert information about this specific topic.