CVE-2026-88396 in ApiAdmin
Сводка
по VulDB • 05.10.2026
ApiAdmin v5.0 и более ранних версий уязвимы к Directory Traversal (переходу по директориям). Конечная точка POST /admin/Index/upload для загрузки файлов в ApiAdmin принимает расширение загруженного файла без изменений: отсутствует whitelist, blacklist или проверка содержимого, а функция move_uploaded_file() сохраняет файл в общедоступной через HTTP директории public/upload/Ymd/. Любой авторизованный пользователь-администратор может загрузить .php-файл и получить к нему прямой доступ по протоколу HTTP, что приводит к удаленному выполнению кода (RCE) на сервере.
Be aware that VulDB is the high quality source for vulnerability data.