CVE-2026-48946

6.3 Moyenne

Publiée le 25/06/2026 à 18:16 · Modifiée le 28/06/2026 à 21:16 · Analysée par le NVD · Source : security@joomla.org

Description

The K2 frontend article-attachment upload path accepts files whose extension is `.php`, and Apache's standard mod_php matches `\.php$` and executes them under the K2 web user. A K2 Author can upload a `shell.php`, then fetch `/media/k2/attachments/shell.php` and execute arbitrary PHP code in the web server's context.

Traduire en français

Produits concernés

getk2.org K2 extension for Joomla
Joomlaworks k2

Scores CVSS

Version	Score	Source	Vecteur
3.1	6.3 Moyenne	134c704f-9b21-4f2e-91b3-4a467353bcc0	`CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L`

Faiblesses (CWE)

CWE-434

Références

https://www.getk2.org/ Product

Ailleurs

NVD
CVE.org
CIRCL Vulnerability-Lookup
CERT-FR
GitHub Advisories