Contact Manager est vulnérable à l’envoi arbitraire de fichiers jusqu’à la version 9.1.2 incluse, en raison d’un contournement de la vérification des extensions; un attaquant non authentifié peut téléverser un fichier potentiellement exécutable et, sous certaines configurations Apache, obtenir une exécution de code à distance. La fiche fournie ne précise aucun correctif : vérifier la version installée et appliquer une mise à jour de l’éditeur dès qu’elle est disponible.
Source : NVD — CVE-2026-109218
Analyse technique
La faille dans add_message tient à une liste de blocage d’extensions incomplète et à la suppression d’un point final par sanitize_file_name(). L’exécution de code suppose notamment Apache avec libapache2-mod-php et que le fichier soit récupéré avant sa suppression en fin de requête.
Impact, versions et correctif
Action recommandée
Vérifier si Contact Manager est installé et limiter son exposition; mettre à jour vers une version corrigée lorsqu’elle est publiée.
Sources
Priorisation DFS : P3 · 1 source(s).