OpenKM 6.3.12 contains a local file inclusion vulnerability in the administrative scripting interface at /admin/Scripting that allows authenticated administrators to read arbitrary files by supplying an attacker-controlled filesystem path through the fsPath parameter with action=Load. Attackers can exploit this to access sensitive files including /etc/passwd, configuration files containing database credentials, and JVM keystores accessible to the OpenKM process.
References
Configurations
No configuration.
History
06 Oct 2026, 22:10
| Type | Values Removed | Values Added |
|---|---|---|
| Summary | (es) OpenKM 6.3.12 contiene una vulnerabilidad de inclusión local de ficheros en la interfaz de scripting administrativo en [AdminScriptingEndpoint] que permite a los administradores autenticados leer ficheros arbitrarios al proporcionar una ruta del sistema de ficheros controlada por el atacante a través del parámetro fsPath con [AdminScriptingEndpoint]. Los atacantes pueden explotar esto para acceder a ficheros sensibles, incluyendo directorio etc/p4ssd, ficheros de configuración que contienen credenciales de base de datos, y almacenes de claves JVM accesibles al proceso de OpenKM. |
Information
Published : 2026-05-26 15:16
Updated : 2026-10-06 22:10
NVD link : CVE-2026-41917
Mitre link : CVE-2026-41917
CVE.ORG link : CVE-2026-41917
JSON object : View
Products Affected
No product.
CWE
CWE-22
Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal')