CVE-2026-104478
Beschrijving NL
Bekisting vóór 2.3.13 bevat een kwetsbaarheid voor het doorlopen van paden in BackupController waarmee geverifieerde paneelgebruikers willekeurige bestanden kunnen lezen of verwijderen. Aanvallers met toestemming voor het downloaden of verwijderen van back-ups kunnen een base64-gecodeerde door backslash gescheiden traversal-payload leveren die de PHP-basisnaam op Linux omzeilt om toegang te krijgen tot bestanden buiten de back-upmap.
Origineel (Engels) tonen
Formwork before 2.3.13 contains a path traversal vulnerability in BackupController that allows authenticated panel users to read or delete arbitrary files. Attackers with backup download or delete permission can supply a base64-encoded backslash-separated traversal payload that bypasses PHP basename on Linux to access files outside the backup directory.