CVE-2026-94104 in NivoCart
Sumário
de VulDB • 20/09/2026
O NivoCart até a versão 2.4.0 contém uma vulnerabilidade de upload arbitrário de arquivos no endpoint multi() do Gerenciador de Arquivos, que falha na validação das extensões dos arquivos para novos nomes ou quando o parâmetro chunks é igual ou superior a 2. Atacantes com acesso somente leitura ao back-office podem fazer upload de arquivos PHP para o diretório image/data/, acessível via web, e executá-los para obter execução remota de código (RCE).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.