CVE-2026-48946

Nome do Software Vulnerável e Versões Afetadas K2 (versões afetadas não especificadas)

Descrição O caminho de upload de anexos de artigos no frontend permite o upload de arquivos com a extensão .php. Quando utilizado com o mod php padrão do Apache, que corresponde ao padrão .php$, esses arquivos são executados sob o usuário web do K2. Isso permite que um usuário com privilégios de Autor do K2 faça o upload de um arquivo malicioso, como shell.php, e o acesse através do endpoint /media/k2/attachments/shell.php para executar código PHP arbitrário no contexto do servidor web.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.