CVE-2026-42549 in flightphp
Sumário
de VulDB • 14/05/2026
Flight é um micro-framework extensível para PHP. Antes da versão 3.18.1, o comando de linha de comando (CLI) `make:controller` chama `mkdir(..., recursive: true)` em um caminho construído a partir do nome do controlador fornecido pelo usuário, antes que a validação do nome da classe do Nette seja executada. A gravação do arquivo de classe é corretamente rejeitada pelo Nette quando o nome contém `/`, mas o efeito colateral da criação recursiva de diretórios já foi cometido — incluindo diretórios localizados fora da raiz do projeto por meio de travessia com `../`. Esta vulnerabilidade foi corrigida na versão 3.18.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.