Anmelden
Deutsch English Español Polski
Kritisch

elFinder before 2.1.59 contains multiple vulnerabilities leading to RCE

  • Veröffentlicht: 16.06.2021
  • Aktualisiert: 11.10.2026 10:22

Impact

We recently fixed several vulnerabilities affect elFinder 2.1.58. These vulnerabilities can allow an attacker to execute arbitrary code and commands on the server hosting the elFinder PHP connector, even with the minimal configuration.

Patches

The issues were addressed in our last release, 2.1.59.

Workarounds

If you can't update to 2.1.59, make sure your connector is not exposed without authentication.

Reference

Further technical details will be disclosed on https://blog.sonarsource.com/tag/security after some time.

For more information

If you have any questions or comments about this advisory, you can contact: - The original reporters, by sending an email to vulnerability.research@sonarsource.com; - The maintainers, by opening an issue on this repository.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

PlattformPaketAnfällige VersionenBehoben in
Composer-Paket studio-42/elfinder < 2.1.59 2.1.59

Verweise

CVSS-Wert 9.8/10
CVSS-Vektor
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Schwäche (CWE)
CWE-22, CWE-78, CWE-918
Plattform
Composer
Paket
studio-42/elfinder
Veröffentlicht
16.06.2021
Aktualisiert
11.10.2026 10:22

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-wph3-44rj-92pr - CC BY 4.0

Schwachstellenhistorie: studio-42/elfinder

Alle veröffentlichten Schwachstellen dieses Pakets (Composer-Paket), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (18) im Archiv
Einträge insgesamt
18
Erste → letzte
06.2021 09.2026
Ohne Fix
2
In Angriffen ausgenutzt
0

Verteilung nach Schweregrad

  • Kritisch 7
  • Hoch 8
  • Mittel 3

Veröffentlichungen pro Jahr

Schweregrad:
  1. elFinder: ZIP extraction bypasses uploadDeny MIME filter allowing PHP file upload (RCE)
    Hoch · 8.1 CVE-2026-81891 < 2.1.70 2.1.70
  2. elFinder: SSRF protection bypass via DNS rebinding in the `fsock_get_contents()` fallback
    Hoch · 8.6 CVE-2026-81889 < 2.1.70 2.1.70
  3. elFinder MySQL has a SQL Injection in its Volume Driver (elFinderVolumeMySQL)
    Hoch · 8.8 CVE-2026-44521 < 2.1.68 2.1.68
  4. elFinder: Command injection in resize background color parameter when using ImageMagick CLI
    Hoch · 9.8 CVE-2026-41247 < 2.1.67 2.1.67
  5. Studio 42 elFinder vulnerable to Incorrect Access Control
    Hoch · 9.8 CVE-2024-38909 <= 2.1.64 keine Korrektur
  6. elFinder vulnerable to path traversal in LocalVolumeDriver connector
    Hoch · 7.5 CVE-2023-35840 < 2.1.62 2.1.62
  7. elFinder command injection vulnerability in the PHP connector
    Kritisch · 9.8 CVE-2019-9194 < 2.1.48 2.1.48
  8. Directory Traversal in Studio 42 elFinder
    Kritisch · 9.1 CVE-2018-9110 >= 2.1.12, < 2.1.37 2.1.37
  9. elFinder Path Traversal vulnerability
    Kritisch · 9.1 CVE-2018-9109 < 2.1.36 2.1.36
  10. elFinder Server Side Request Forgery (SSRF)
    Hoch · 7.7 CVE-2019-6257 < 2.1.49 2.1.49
  11. RCE in Studio-42 elFinder on Windows before 2.1.61
    Kritisch · 9.8 CVE-2022-27115 < 2.1.61 2.1.61
  12. elFinder Unrestricted File Upload vulnerability
    Kritisch · 9.8 CVE-2021-43421 >= 2.0.4, < 2.1.60 2.1.60
  13. Path Traversal in Studio-42 elFinder through 2.1.60
    Kritisch · 9.1 CVE-2022-26960 < 2.1.61 2.1.61
  14. elFinder before 2.1.59 contains multiple vulnerabilities leading to RCE dieser Eintrag
    Kritisch · 9.8 CVE-2021-32682 < 2.1.59 2.1.59
  15. elFinder unsafe upload filtering leading to remote code execution
    Hoch · 8.1 CVE-2021-23394 < 2.1.58 2.1.58

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden
DockRay Newsletter

Anwendungssicherheit in Ihrem Postfach

Wichtige Schwachstellen, konkrete Empfehlungen und praktische Tipps für Ihre Anwendungen. Wählen Sie Ihre Technologien und verfolgen Sie, was für Ihr Projekt relevant ist.

  • Eine tägliche Zusammenfassung neuer Schwachstellen, auch kritischer.
  • Benachrichtigungen über wichtige Updates.
  • Praktische Tipps zur Sicherheit und Überwachung von Anwendungen.

Leer lassen, um Meldungen zu allen Technologien zu erhalten.

Datenschutzerklärung

Kostenlos anmelden. In jeder E-Mail mit einem Klick abmelden.