CVE-2026-105123
Beschrijving NL
W (vincent-peugnet/wcms) tot en met 3.18.0 bevat een kwetsbaarheid voor het uitvoeren van externe code waarmee geverifieerde editors willekeurige bestanden kunnen schrijven door misbruik te maken van het niet-gevalideerde pad in POST /api/v0/media/upload/[*:path]. Aanvallers kunnen .php-bestanden uploaden die door de webserver worden uitgevoerd, gecodeerde ../ sequenties gebruiken om buiten de mediadirectory te schrijven en willekeurige bestanden verwijderen via DELETE /api/v0/media/[*:path].
Origineel (Engels) tonen
W (vincent-peugnet/wcms) through 3.18.0 contains a remote code execution vulnerability that allows authenticated editors to write arbitrary files by abusing the unvalidated path in POST /api/v0/media/upload/[*:path]. Attackers can upload .php files executed by the web server, use encoded ../ sequences to write outside the media directory, and delete arbitrary files via DELETE /api/v0/media/[*:path].