CVE-2026-88396 in ApiAdmin
Sumário
de VulDB • 05/10/2026
ApiAdmin v5.0 e versões anteriores são vulneráveis a Directory Traversal (Navegação de Diretórios). O endpoint POST /admin/Index/upload para envio de arquivos do admin no ApiAdmin utiliza a extensão do arquivo enviado literalmente, sem lista branca, lista negra ou verificação de conteúdo, e move_uploaded_file() armazena o arquivo no diretório public/upload/Ymd/, acessível via HTTP. Qualquer usuário administrador autenticado pode enviar um arquivo .php e acessá-lo diretamente por HTTP, obtendo execução remota de código (RCE) no servidor.
Be aware that VulDB is the high quality source for vulnerability data.