Anmelden
Deutsch English Español Polski
Kritisch

elFinder Path Traversal vulnerability

  • Veröffentlicht: 13.05.2022
  • Aktualisiert: 11.10.2026 10:22

Studio 42 elFinder before 2.1.36 has a directory traversal vulnerability in elFinder.class.php with the zipdl() function that can allow a remote attacker to download files accessible by the web server process and delete files owned by the account running the web server process.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

PlattformPaketAnfällige VersionenBehoben in
Composer-Paket studio-42/elfinder < 2.1.36 2.1.36

Verweise

CVSS-Wert 9.1/10
CVSS-Vektor
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
Schwäche (CWE)
CWE-22
Plattform
Composer
Paket
studio-42/elfinder
Veröffentlicht
13.05.2022
Aktualisiert
11.10.2026 10:22

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-45x3-mw7q-wf7f - CC BY 4.0

Schwachstellenhistorie: studio-42/elfinder

Alle veröffentlichten Schwachstellen dieses Pakets (Composer-Paket), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (18) im Archiv
Einträge insgesamt
18
Erste → letzte
06.2021 09.2026
Ohne Fix
2
In Angriffen ausgenutzt
0

Verteilung nach Schweregrad

  • Kritisch 7
  • Hoch 8
  • Mittel 3

Veröffentlichungen pro Jahr

Schweregrad:
  1. elFinder: ZIP extraction bypasses uploadDeny MIME filter allowing PHP file upload (RCE)
    Hoch · 8.1 CVE-2026-81891 < 2.1.70 2.1.70
  2. elFinder: SSRF protection bypass via DNS rebinding in the `fsock_get_contents()` fallback
    Hoch · 8.6 CVE-2026-81889 < 2.1.70 2.1.70
  3. elFinder MySQL has a SQL Injection in its Volume Driver (elFinderVolumeMySQL)
    Hoch · 8.8 CVE-2026-44521 < 2.1.68 2.1.68
  4. elFinder: Command injection in resize background color parameter when using ImageMagick CLI
    Hoch · 9.8 CVE-2026-41247 < 2.1.67 2.1.67
  5. Studio 42 elFinder vulnerable to Incorrect Access Control
    Hoch · 9.8 CVE-2024-38909 <= 2.1.64 keine Korrektur
  6. elFinder vulnerable to path traversal in LocalVolumeDriver connector
    Hoch · 7.5 CVE-2023-35840 < 2.1.62 2.1.62
  7. elFinder command injection vulnerability in the PHP connector
    Kritisch · 9.8 CVE-2019-9194 < 2.1.48 2.1.48
  8. Directory Traversal in Studio 42 elFinder
    Kritisch · 9.1 CVE-2018-9110 >= 2.1.12, < 2.1.37 2.1.37
  9. elFinder Path Traversal vulnerability dieser Eintrag
    Kritisch · 9.1 CVE-2018-9109 < 2.1.36 2.1.36
  10. elFinder Server Side Request Forgery (SSRF)
    Hoch · 7.7 CVE-2019-6257 < 2.1.49 2.1.49
  11. RCE in Studio-42 elFinder on Windows before 2.1.61
    Kritisch · 9.8 CVE-2022-27115 < 2.1.61 2.1.61
  12. elFinder Unrestricted File Upload vulnerability
    Kritisch · 9.8 CVE-2021-43421 >= 2.0.4, < 2.1.60 2.1.60
  13. Path Traversal in Studio-42 elFinder through 2.1.60
    Kritisch · 9.1 CVE-2022-26960 < 2.1.61 2.1.61
  14. elFinder before 2.1.59 contains multiple vulnerabilities leading to RCE
    Kritisch · 9.8 CVE-2021-32682 < 2.1.59 2.1.59
  15. elFinder unsafe upload filtering leading to remote code execution
    Hoch · 8.1 CVE-2021-23394 < 2.1.58 2.1.58

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden
DockRay Newsletter

Anwendungssicherheit in Ihrem Postfach

Wichtige Schwachstellen, konkrete Empfehlungen und praktische Tipps für Ihre Anwendungen. Wählen Sie Ihre Technologien und verfolgen Sie, was für Ihr Projekt relevant ist.

  • Eine tägliche Zusammenfassung neuer Schwachstellen, auch kritischer.
  • Benachrichtigungen über wichtige Updates.
  • Praktische Tipps zur Sicherheit und Überwachung von Anwendungen.

Leer lassen, um Meldungen zu allen Technologien zu erhalten.

Datenschutzerklärung

Kostenlos anmelden. In jeder E-Mail mit einem Klick abmelden.