CVE-2026-81891

Nome do Software Vulnerável e Versões Afetadas elFinder versões anteriores a 2.1.70

Descrição A função checkExtractItems() em php/elFinderVolumeDriver.class.php chama mimetypeInternalDetect() sem passar o resultado por mimeTypeNormalize(). Devido à ausência das extensões .phtml, .phar, .php5 e .php3 em mime.types, as entradas staticMimeMap que as mapeiam para text/x-php não são aplicadas. Consequentemente, allowPutMime() permite a extração desses arquivos mesmo quando o uploadDeny está configurado para bloquear text/x-php. Um invasor com permissão de upload de arquivos ZIP pode extrair arquivos executáveis PHP em um diretório files/ acessível via web, resultando em execução remota de código quando o servidor executa essas extensões.

Recomendações Atualizar para a versão 2.1.70.