p PatchFirst

CVE-2026-104890

CVE-2026-104890 · Kunstmaan CMS: MediaBundle extension blacklist bypass allows authenticated administrators to upload executable PHP files leading to remote code execution

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

Kunstmaan CMS is an open source content management system based on the Symfony framework. Prior to 7.3.2, src/Kunstmaan/MediaBundle/Helper/File/FileHandler.php performs the blacklisted_extensions check case-sensitively in FileHandler::getFilePath and lowercases the stored extension afterward. An authenticated backend user with media access can upload a mixed-case executable extension such as PHP that bypasses the check and is stored in the web-accessible media directory with an executable lowercase extension. The default blacklist also omits several server-executable extension types, allowing the same code-execution impact where the web server executes uploaded files. This issue is fixed in version 7.3.2.

CVSS 7.2 · Élevée · EPSS 0,4% · Correctif disponible

Publication
Mise à jour

Pile logicielle: php

Produits et versions concernés

  • kunstmaanbundlescms

    Versions du logiciel
    • < 7.3.1: Concernée

    Aucun correctif publié

  • bundles-cms

    Versions du logiciel
    • < 7.3.1: Concernée

    Aucun correctif publié

  • media-bundle

    Versions du logiciel
    • < 7.3.1: Concernée

    Aucun correctif publié

  • kunstmaan/media-bundle Packagist

    Versions du logiciel
    • 3.0.0
    • 3.0.1
    • 3.0.2
    • 3.0.3
    • 3.1.0
    • 3.1.1
    • 3.1.2
    • 3.1.3
    • 3.1.4
    • 3.2.0
    • 3.2.1
    • 3.2.1.1
    • 3.2.2
    • 3.2.3
    • 3.2.4
    • 3.2.4.1
    • 3.2.5
    • 3.2.6
    • 3.3.0
    • 3.3.1
    • 3.3.2
    • 3.3.3
    • 3.3.4
    • 3.4.0
    • 3.4.1
    • 3.4.2
    • 3.5.0
    • 3.5.1
    • 3.5.2
    • 3.6.0
    • 3.6.1
    • 3.6.2
    • 3.6.3
    • 4.0.0
    • 4.0.0-RC1
    • 4.0.1
    • 4.0.2
    • 4.0.3
    • 4.1.0
    • 4.1.1
    • 4.1.2
    • 4.1.3
    • 4.1.4
    • 4.2.0
    • 4.2.1
    • 4.2.2
    • 4.2.3
    • 5.0.0
    • 5.0.0-RC1
    • 5.0.0-RC2
    • 5.0.1
    • 5.0.10
    • 5.0.11
    • 5.0.12
    • 5.0.13
    • 5.0.14
    • 5.0.2
    • 5.0.3
    • 5.0.4
    • 5.0.5
    • 5.0.6
    • 5.0.7
    • 5.0.9
    • 5.1.0
    • 5.1.1
    • 5.1.2
    • 5.10.0
    • 5.10.1
    • 5.10.2
    • 5.10.3
    • 5.10.4
    • 5.10.5
    • 5.10.6
    • 5.10.7
    • 5.2.0
    • 5.2.1
    • 5.2.2
    • 5.2.3
    • 5.2.4
    • 5.2.5
    • 5.3.0
    • 5.3.1
    • 5.3.10
    • 5.3.11
    • 5.3.12
    • 5.3.13
    • 5.3.14
    • 5.3.2
    • 5.3.3
    • 5.3.4
    • 5.3.5
    • 5.3.7
    • 5.3.8
    • 5.3.9
    • 5.4.0
    • 5.4.1
    • 5.4.2
    • 5.4.3
    • 5.4.4
    • 5.4.5
    • 5.4.6
    • 5.4.7
    • 5.5.0
    • 5.5.1
    • 5.5.2
    • 5.5.3
    • 5.5.4
    • 5.5.5
    • 5.5.6
    • 5.6.0
    • 5.6.1
    • 5.6.2
    • 5.6.3
    • 5.6.4
    • 5.6.5
    • 5.6.6
    • 5.7.0
    • 5.7.1
    • 5.7.2
    • 5.7.3
    • 5.8.0
    • 5.8.1
    • 5.9.0
    • 5.9.1
    • 5.9.2
    • 5.9.3
    • 6.0.0
    • 6.0.1
    • 6.0.2
    • 6.0.3
    • 6.0.4
    • 6.0.5
    • 6.0.6
    • 6.1.0
    • 6.1.1
    • 6.1.2
    • 6.1.3
    • 6.1.4
    • 6.1.5
    • 6.1.6
    • 6.1.7
    • 6.1.8
    • 6.1.9
    • 6.2.0
    • 6.2.1
    • 6.2.2
    • 6.2.3
    • 6.2.4
    • 6.2.5
    • 6.3.0
    • 6.3.1
    • 6.4.0
    • 6.4.0-alpha1
    • 6.4.0-alpha2
    • 6.4.1
    • 6.4.2
    • 6.4.3
    • 6.4.4
    • 7.0.0
    • 7.0.0-alpha1
    • 7.0.1
    • 7.0.2
    • 7.0.3
    • 7.0.4
    • 7.0.5
    • 7.1.0
    • 7.1.0-alpha1
    • 7.1.0-alpha2
    • 7.1.1
    • 7.1.2
    • 7.1.3
    • 7.1.4
    • 7.2.0
    • 7.2.1
    • 7.3.0
    • 7.3.1
    • v1.3
    • v1.3.1
    • v1.3.2
    • v1.3.3
    • v2.1
    • v2.1.1
    • v2.1.2
    • v2.1.3
    • v2.2
    • v2.2.1
    • v2.2.10
    • v2.2.2
    • v2.2.3
    • v2.2.8
    • v2.2.9
    • v2.3
    • v2.3.1
    • v2.3.10
    • v2.3.11
    • v2.3.12
    • v2.3.13
    • v2.3.14
    • v2.3.15
    • v2.3.16
    • v2.3.17
    • v2.3.18
    • v2.3.19
    • v2.3.2
    • v2.3.20
    • v2.3.21
    • v2.3.22
    • v2.3.23
    • v2.3.3
    • v2.3.4
    • v2.3.5
    • v2.3.6
    • v2.3.7
    • v2.3.8
    • v2.3.9
    Plages de versions concernées
    • ECOSYSTEM: < 7.3.2

    Mettez à jour vers 7.3.2

  • kunstmaan/bundles-cms Packagist

    Versions du logiciel
    • 3.0.0
    • 3.0.1
    • 3.0.2
    • 3.0.3
    • 3.1.0
    • 3.1.1
    • 3.1.2
    • 3.1.3
    • 3.1.4
    • 3.2.0
    • 3.2.1
    • 3.2.1.1
    • 3.2.2
    • 3.2.3
    • 3.2.4
    • 3.2.4.1
    • 3.2.5
    • 3.2.6
    • 3.3.0
    • 3.3.1
    • 3.3.2
    • 3.3.3
    • 3.3.4
    • 3.4.0
    • 3.4.1
    • 3.4.2
    • 3.5.0
    • 3.5.1
    • 3.5.2
    • 3.6.0
    • 3.6.1
    • 3.6.2
    • 3.6.3
    • 4.0.0
    • 4.0.0-RC1
    • 4.0.1
    • 4.0.2
    • 4.0.3
    • 4.1.0
    • 4.1.1
    • 4.1.2
    • 4.1.3
    • 4.1.4
    • 4.2.0
    • 4.2.1
    • 4.2.2
    • 4.2.3
    • 5.0.0
    • 5.0.0-RC1
    • 5.0.0-RC2
    • 5.0.1
    • 5.0.10
    • 5.0.11
    • 5.0.12
    • 5.0.13
    • 5.0.14
    • 5.0.2
    • 5.0.3
    • 5.0.4
    • 5.0.5
    • 5.0.6
    • 5.0.7
    • 5.0.8
    • 5.0.9
    • 5.1.0
    • 5.1.1
    • 5.1.2
    • 5.10.0
    • 5.10.1
    • 5.10.2
    • 5.10.3
    • 5.10.4
    • 5.10.5
    • 5.10.6
    • 5.10.7
    • 5.2.0
    • 5.2.1
    • 5.2.2
    • 5.2.3
    • 5.2.4
    • 5.2.5
    • 5.3.0
    • 5.3.1
    • 5.3.10
    • 5.3.11
    • 5.3.12
    • 5.3.13
    • 5.3.14
    • 5.3.2
    • 5.3.3
    • 5.3.4
    • 5.3.5
    • 5.3.6
    • 5.3.7
    • 5.3.8
    • 5.3.9
    • 5.4.0
    • 5.4.1
    • 5.4.2
    • 5.4.3
    • 5.4.4
    • 5.4.5
    • 5.4.6
    • 5.4.7
    • 5.5.0
    • 5.5.1
    • 5.5.2
    • 5.5.3
    • 5.5.4
    • 5.5.5
    • 5.5.6
    • 5.6.0
    • 5.6.1
    • 5.6.2
    • 5.6.3
    • 5.6.4
    • 5.6.5
    • 5.6.6
    • 5.7.0
    • 5.7.1
    • 5.7.2
    • 5.7.3
    • 5.8.0
    • 5.8.1
    • 5.9.0
    • 5.9.1
    • 5.9.2
    • 5.9.3
    • 6.0.0
    • 6.0.1
    • 6.0.2
    • 6.0.3
    • 6.0.4
    • 6.0.5
    • 6.0.6
    • 6.1.0
    • 6.1.1
    • 6.1.2
    • 6.1.3
    • 6.1.4
    • 6.1.5
    • 6.1.6
    • 6.1.7
    • 6.1.8
    • 6.1.9
    • 6.2.0
    • 6.2.1
    • 6.2.2
    • 6.2.3
    • 6.2.4
    • 6.2.5
    • 6.3.0
    • 6.3.1
    • 6.4.0
    • 6.4.0-alpha1
    • 6.4.0-alpha2
    • 6.4.1
    • 6.4.2
    • 6.4.3
    • 6.4.4
    • 7.0.0
    • 7.0.0-alpha1
    • 7.0.1
    • 7.0.2
    • 7.0.3
    • 7.0.4
    • 7.0.5
    • 7.1.0
    • 7.1.0-alpha1
    • 7.1.0-alpha2
    • 7.1.1
    • 7.1.2
    • 7.1.3
    • 7.1.4
    • 7.2.0
    • 7.2.1
    • 7.3.0
    • 7.3.1
    Plages de versions concernées
    • ECOSYSTEM: < 7.3.2

    Mettez à jour vers 7.3.2

Sources originales

Vérifiez votre serveur →