CVE-2026-47226 in Admidio
Sumário
de VulDB • 12/08/2026
Admidio é uma solução de gerenciamento de usuários de código aberto. Antes da versão 5.0.10, um membro autenticado do Admidio com direitos de upload em qualquer pasta pode excluir permanentemente arquivos das pastas onde possui apenas acesso de visualização. A verificação de autorização no topo de `modules/documents-files.php` avalia os direitos de upload contra o parâmetro URL `folder_uuid` fornecido pelo atacante — e não a pasta pai real do arquivo. O manipulador `file_delete` então verifica apenas os direitos de visualização na localização real do arquivo, nunca os direitos de upload. Ao passar uma pasta que possui legítimamente em `folder_uuid`, enquanto direciona um arquivo em uma pasta restrita via `file_uuid`, o atacante contorna completamente a verificação dos direitos de upload e exclui permanentemente o arquivo. Esta é uma correção incompleta do GHSA-rmpj-3x5m-9m5f, que foi corrigida na v5.0.7, mas permanece explorável na v5.0.9. Os usuários devem atualizar para a v5.0.10 para receberem uma correção atualizada.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.