p PatchFirst

CVE-2026-41247

CVE-2026-41247 · elFinder: Command injection in resize background color parameter when using ImageMagick CLI

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

elFinder is an open-source file manager for web, written in JavaScript using jQuery UI. Prior to 2.1.67, elFinder contains a command injection vulnerability in the resize command. The bg (background color) parameter is accepted from user input and passed through image resize/rotate processing. In configurations that use the ImageMagick CLI backend, this value is incorporated into shell command strings without sufficient escaping. An attacker able to invoke the resize command with a crafted bg value may achieve arbitrary command execution as the web server process user. This vulnerability is fixed in 2.1.67.

CVSS 8.9 · Высокий · EPSS 1,6% · Есть исправление

Опубликовано
Обновлено

Стек: php

Затронутые продукты и версии

  • elfinder

    Версии
    • < 2.1.67: Затронуто

    Нет опубликованного исправления

  • studio-42/elfinder Packagist

    Версии
    • 2.0.3
    • 2.0.4
    • 2.0.5
    • 2.0.6
    • 2.0.7
    • 2.0.8
    • 2.0.9
    • 2.1.0
    • 2.1.1
    • 2.1.10
    • 2.1.11
    • 2.1.12
    • 2.1.13
    • 2.1.14
    • 2.1.15
    • 2.1.16
    • 2.1.17
    • 2.1.18
    • 2.1.19
    • 2.1.2
    • 2.1.20
    • 2.1.21
    • 2.1.22
    • 2.1.23
    • 2.1.24
    • 2.1.25
    • 2.1.26
    • 2.1.27
    • 2.1.28
    • 2.1.29
    • 2.1.3
    • 2.1.30
    • 2.1.31
    • 2.1.32
    • 2.1.33
    • 2.1.34
    • 2.1.35
    • 2.1.36
    • 2.1.37
    • 2.1.38
    • 2.1.39
    • 2.1.4
    • 2.1.40
    • 2.1.41
    • 2.1.42
    • 2.1.43
    • 2.1.44
    • 2.1.45
    • 2.1.46
    • 2.1.47
    • 2.1.48
    • 2.1.49
    • 2.1.5
    • 2.1.50
    • 2.1.51
    • 2.1.52
    • 2.1.53
    • 2.1.54
    • 2.1.55
    • 2.1.56
    • 2.1.57
    • 2.1.58
    • 2.1.59
    • 2.1.6
    • 2.1.60
    • 2.1.61
    • 2.1.62
    • 2.1.63
    • 2.1.64
    • 2.1.65
    • 2.1.66
    • 2.1.7
    • 2.1.8
    • 2.1.9
    Затронутые диапазоны версий
    • ECOSYSTEM: < 2.1.67

    Обновитесь до 2.1.67

Первоисточники

Проверьте свой сервер →