CVE-2026-41655

Nome do Software Vulnerável e Versões Afetadas Admidio versões anteriores a 5.0.9

Descrição O endpoint 'ecard preview.php' não valida se o parâmetro POST ecard template é um nome de arquivo seguro antes de ser processado pela função getEcardTemplate(). Um usuário autenticado pode explorar isso fornecendo um payload de path traversal, como ../config.php, para ler arquivos arbitrários acessíveis ao processo do servidor web. Isso pode levar à exposição de informações sensíveis, incluindo credenciais de banco de dados armazenadas em adm my files/config.php, código-fonte da aplicação e arquivos do sistema.

Recomendações Atualize para a versão 5.0.9. Como medida paliativa temporária, restrinja o acesso ao endpoint 'ecard preview.php' ou evite usar o parâmetro ecard template até que a atualização seja aplicada.