CVE-2025-58449
CVE-2025-58449 · Maho Vulnerable to Authenticated Remote Code Execution via File Upload
Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.
Maho is a free and open source ecommerce platform. In Maho prior to 25.9.0, an authenticated staff user with access to the `Dashboard` and `Catalog\Manage Products` permissions can create a custom option on a listing with a file input field. By allowing file uploads with a `.php` extension, the user can use the filed to upload malicious PHP files, gaining remote code execution. Version 25.9.0 fixes the issue.
CVSS 8.7 · Alta · EPSS 0,3% · Corrección disponible
- Publicación
- Actualización
Pila tecnológica: php
Productos y versiones afectados
maho
- Versiones
- < 25.9.0: Afectada
Sin corrección publicada
mahocommerce/maho Packagist
- Versiones
- 24.11.0
- 24.9.0
- 25.1.0
- 25.3.0
- 25.5.0
- 25.7.0
- Intervalos de versiones afectados
- ECOSYSTEM: < 25.9.0
Actualiza a 25.9.0