Radda/TG_CVE huggingface dataset:
CVE-CVE-2024-6587 , обнаруженная вlitellm в версиях до 1.44.8, приводит кServer-Side Request Forgery (SSRF). Проблема заключалась в возможности злоумышленнику подделать запрос и получить OpenAI API ключи через данные в теле входящих запросов (см.source code). Висправлениидобавлена функцияis_request_body_safe(), которая использует "черный" списокbanned_paramsдля валидации данных в теле входящих запросов.
CVE-CVE-2024-6862 , выявленная вlunary в версиях до 1.4.10, приводит кСross Site Request Forgery (CSRF). Уязвимость обусловлена неправильной настройкой политики CORS, которая включала в себя заголовокAccess-Control-Allow-Originсо значением*(см.source code), что позволяло злоумышленнику эксплуатировать произвольные экземплярыlunary. Висправлениинастройка политики CORS была скорректирована таким образом, что  в режимеproductionзаголовокAccess-Control-Allow-Originзаполняется в из переменной окруженияAPP_URL.
CVE-CVE-2024-38816 , обнаруженная вspring-framework в версиях с 6.1.0 по 6.1.13, приводит кPath Traversal. Проблема заключалась в недостаточной валидации получаемых значений при обработке (см.source code), что позволяло злоумышленнику получить доступ к локальным файлам на хосте. Висправлениибыли добавлены дополнительные методы валидации и санитизации путей, используя функцииStringUtils.replace(),isInvalidEncodedInputPath(),cleanDuplicateSlashes()иcleanLeadingSlash().
CVE-CVE-2024-21529 , выявленная вdset в версиях до 3.1.4, приводит кPrototype Pollution. Уязвимость обусловлена недостатком в процессе обработки значений ключей, который не учитывал работу с неявными типами (см.source code), что позволяло злоумышленнику выполнить обход проверок и "загрязнить" прототип. Висправлениипроцесс обработки значений был изменен таким образом, что все значения обрабатываемых ключей приводятся к типуstring
CVE-CVE-2024-8503 , обнаруженная вVICIdial в версии 2.14-917aприводит кSQL-injection. Проблема заключалась в отсутствии санитизации пользовательского ввода перед помещением данных в SQL-запрос типаINSERT, таким образом неаутентифицированный пользователь может выполнить произвольный SQL код. Информация об уязвимости, рекомендациях по обновлению и уязвимых версиях находится вSecurity Advisory.
CVE-CVE-2024-45601 , обнаруженная вmesop в версиях с 0.9.0 до 0.12.4, приводит кPath Traversal. Проблема заключалась в использованииos.path.join()с параметрами http-запроса при формировании пути к файлу (см.source code), что позволяло злоумышленнику получить доступ к произвольным файлам. Висправлениифункцияos.path.join()была заменена наsafe_join()для обеспечения безопасного процесса формирования путей к статическим файлам, также был добавлен "белый" список расширений для ограничения доступа к произвольным файлам.
CVE-CVE-2024-8883 , выявленная вKeycloak в версиях до 25.0.6, приводит кOpen Redirect. Уязвимость обусловлена использованием небезопасного метода поиска вхождения подстроки в строку для валидации пользовательского ввода (см.source code), что позволяло злоумышленнику обойти проверки и эксплуатировать открытое перенаправление, например, для раскрытия чувствительной информации. Висправлениидобавили проверку на допустимую схему (http) и на принадлежность адреса к "белому" списку  адресов (LOOPBACK_INTERFACES).
CVE-CVE-2024-46985 , обнаруженная вDataEase до версии 2.10.1, приводит кXML External Entity (XXE). Проблема заключалась в отсутствии настроек безопасности парсера XML (см.source code), что позволяло подменить содержимое SVG файла и внедрить внешние сущности, например, для чтения произвольных файлов в файловой системе. Висправлениибыли добавлены настройки парсера для безопасной обработки SVG файлов, такие какdisallow-doctype-decl = true,load-external-dtd = false.
CVE-CVE-2024-47066 , выявленная вLobe-chat в версиях до 1.19.13, приводит кServer-Side Request Forgery (SSRF). Проблема заключалась в недостатке внедренных методов проверки, которые не учитывают возможные перенаправления (см.source code), что позволяло выполнять подделку запросов для обращения к службам в внутренней сети и утечки конфиденциальной информации. Висправлениибыла переработана защита от подделки запросов, путем внедренияuseAgent()из библиотекиrequest-filtering-agent.
CVE-CVE-2024-7591 , обнаруженная вLoadMaster в версиях до7.2.60.0приводит кOS Command Injection. Проблема заключалась в отсутствии санитизации данных, что позволяло неаутентифицированному злоумышленнику с помощью http-запросов внедрить произвольные команды ОС и выполнить их. Информация об уязвимости, рекомендациях по обновлению и уязвимых версиях находится вSecurity Advisory.
CVE-CVE-2024-47169 , обнаруженная вagnai в версиях до 1.0.330, приводит кPath Traversal. Проблема заключалась в недостаточной валидации, получаемых значений, при обработке (см.source code), что позволяло злоумышленнику перезаписывать произвольные файлы. Висправлениибыла добавлена валидация параметра_id, путем сравнения передаваемого значения с существующим идентификатором.
CVE-CVE-2024-47062 , выявленная вNavidrome в версиях до 0.53.0, приводит кSQL-injection. Уязвимость обусловлена тем, что  параметры помещаются в SQL запросы, что позволяло злоумышленнику выполнить произвольный SQL код. Висправлениибыло добавлены механизмы для надежной и безопасной обработки SQL такие как: внедрение обработки контекстаctxпри анализе параметров, использование методаregisterModel()для сопоставления фильтров и моделей.
CVE-CVE-2024-47186 , обнаруженная вFilament в версиях с 3.0.0 по 3.2.115, приводит кCross-Site Scripting. Проблема заключалась в  том, что значенияColorColumnиColumnEntryне проходили санитизацию во время помещения значений в шаблон (см.source code), что позволяло внедрить произвольныйjavascriptкод, который выполнится при отображении. Висправлениибыла добавлена функцияe()для санитизации значенийColorColumnиColumnEntryв шаблоне.
CVE-CVE-2024-45801 , выявленная вdompurify в версиях до 2.5.4 и 3.1.3, приводит кPrototype Pollution. Уязвимость обусловлена недостатком в процессе проверки уровней вложенности, который не учитывал использование специальныхметодов вложенности (см.source code), что позволяло злоумышленнику обходить проверки и выполнить произвольныйjavascriptкод. Висправлениипроцесс был дополнен проверкой значения количества уровней вложенности с помощьюNumber.isNaN(), что позволит правильно обрабатывать конструкции, в которых нельзя определить уровень вложенности.
CVE-CVE-2024-8353 , обнаруженная вплагине WordPress GiveWPприводит кInsecure Deserialization. Проблема заключалась в возможности неаутентифицированного злоумышленника внедрять PHP-объект и, например, совершать различные действия с произвольными файлами или удаленно выполнять произвольный код. Информация об уязвимости, рекомендациях по обновлению и уязвимых версиях находится вSecurity Advisory.
CVE-CVE-2024-47769 , обнаруженная вidurar-erp-crm в версиях до 2.1.0, приводит кPath Traversal. Проблема заключалась в использовании параметров из запроса для формирования пути к файлу с использованием функцииpath.join()(см.source code). Висправлениизначение параметраsubPathзапроса перед использованием нормализуют (path.normalize()) и  очищают от символов обхода директории c использованием регулярного выражение^(\.\.[\/\\])+.
CVE-CVE-2024-47523 , выявленная вLibreNMS в версиях до 24.9.0, приводит кCross-Site Scripting (XSS). Уязвимость обусловлена использованием значения$instance->displayDetailsпри отображении (см.source code)html-кода, что позволяло злоумышленнику внедрять и сохранять произвольныйJavaScriptкод. Висправлениибыла добавлена функцияhtmlentities()для санитизации значения$instance->displayDetails
CVE-CVE-2024-45293 , обнаруженная вPhpSpreadsheet в версиях до 1.29.1, с 2.0.0 по 2.1.1 и с 2.2.0 по 2.3.0, приводит кXML External Entity (XXE). Проблема заключалась в некорректных регулярных выражениях, которые используются для определения кодировки передаваемого XML-файла (см.source code), что позволяло злоумышленнику обходить проверку с помощью пробелов и внедрять произвольные сущности. Висправлениирегулярные выражения были дополнены с учетом возможного наличия пробеловencoding\\s*=\\s*"([^"]*]?)"
CVE-CVE-2024-21489 , выявленная вUplot в версиях до 1.6.31, приводит кPrototype Pollution. Уязвимость обусловлена отсутствием контроля за свойством__proto__в функцииuplot.assign()(см.source code), что позволяло злоумышленнику "загрязнить" прототип. Висправлениибыл добавлен контроль за свойством__proto__с помощью логических конструкций и сравнения значения.
CVE-CVE-2024-45409 , обнаруженная вRuby-SAML в версиях до 1.12.3,  с 1.13.0 до 1.17.0приводит кUnauthenticated Signature Forgery. Проблема заключалась в некорректном доступе к элементам с использованием//селектораXPath, что позволяет  злоумышленнику без аутентификации подделатьSAMLResponseи войти в систему под любым пользователем. Информация об уязвимости и уязвимых версиях находится вSecurity Advisory. Подробное описание уязвимости приводится встатьеот командыProjectDiscovery.
CVE-CVE-2024-47823 , обнаруженная вlivewire в версиях до 2.12.7 и 3.5.2, приводит кArbitrary File Upload. Проблема заключалась в логике  определения расширения файла по MIME (см.source code), что позволяло загружать произвольные файлы. ВисправлениифункцияguessExtension(), которая определяет расширение файлов по MIME, была заменена на функциюgetClientOriginalExtension(), которая определяет расширение из имени файла.
CVE-CVE-2024-47885 , выявленная вastro в версиях с 3.0.0 по 4.16.0, приводит кCross-Site Scripting (XSS). Уязвимость заключалась в неправильном использовании свойстваdocument.scriptsдля осуществления контроля (см.source code), что позволяло злоумышленнику вставлять определенные HTML-теги с навязанными атрибутами. Висправлениииспользование свойстваdocument.scriptsбыло заменено наdocument.getElementsByTagName('script').
CVE-CVE-2024-28168 , обнаруженная вxmlgraphics-fop в версиях до 2.9, приводит кXML External Entity (XXE). Проблема заключалась в отсутствии настройки безопасности обработчика (см.source code), что позволяло внедрять произвольные сущности в передаваемом XML. Висправлениибыла добавлена настройкаXMLConstants.FEATURE_SECURE_PROCESSINGсо значениемtrue, которая позволяет включить безопасный процесс обработки XML.
CVE-CVE-2024-21534 , выявленная вjsonpath-plus в версиях до 10.0.0, приводит кRemote Code Execution (RCE). Уязвимость обусловлена небезопасным использованием модуляnode:vmдля анализа выражений, что позволяло злоумышленнику внедрить вредоносный код и выполнить его в контексте приложения. Висправлениибыл переработан процесс использования модуляnode:vm, также была скорректирована проверка свойств объектов.
CVE-CVE-2024-8963 , обнаруженная вIvanti CSA в версиях до 4.6приводит кPath Traversal. Проблема заключалась в возможности злоумышленника, которые не прошел аутентификацию, получить доступ к функциям с ограниченным доступом. Информация об уязвимости и уязвимых версиях находится вSecurity Advisory.
CVE-CVE-2024-48914 , обнаруженная вvendure/asset-server-plugin в версиях до 2.3.3 и 3.0.5, приводит кPath Traversal. Проблема заключалась в попадании  пользовательских данных после их обработки с помощью функцииdecodedReqPath()непосредственно вpath.join()(см.source code), что позволяло злоумышленнику получить доступ к произвольным файлам на хосте. Висправлениибыл добавлен методsanitizeFilePath(), в котором пользовательский ввод нормализуется  (path.normalize()) и санитизируется с использованием регулярного выражения(\.\.[\/\\])+) .
CVE-CVE-2024-47874 , выявленная вstarlette в версиях до 0.39.2, приводит кDenial of Service (DoS). Уязвимость обусловлена сохранением результатов обработки частейmultipart/form-dataв буфер без каких-либо ограничений по размеру (см.source code), что позволяло злоумышленнику загружать произвольные большие поля формы. Висправлениибыло введено ограничение на максимальный размер передаваемых частей (max_part_size), при превышении которого срабатывает исключениеMultiPartException.
CVE-CVE-2024-21535 , обнаруженная вmarkdown-to-jsx в версиях до 7.4.0, приводит кCross-Site Scripting (XSS). Проблема заключалась в отсутствии контроля за атрибутомsrcв процессе санитизации (см.source code), что позволяло злоумышленнику внедрить произвольныйJavaScriptкод через элементiframeвmarkdown. Висправлениибыл добавлен контроль за атрибутомsrcтэгаiframeс помощью введения нового контроля.
CVE-CVE-2024-47870 , выявленная вgradio в версиях до 5.0.0, приводит кRace Conditions. Уязвимость обусловлена возможностью изменения конфигурации в многопоточном режиме работы (см.source code), что позволяло злоумышленнику перенаправить пользовательский трафик на вредоносный сервер. Висправлениибыла добавлена функцияsafe_deepcopy()для обеспечения защиты от параллельного изменения конфигурации.
CVE-CVE-2024-9264 , обнаруженная вGrafana в версии с 11.0.0 по 11.0.5приводит кSQL Injection. Проблема заключалась в возможности любого аутентифицированного пользователя с правамиVIEWERи выше внедрить произвольный код вSQLзапрос и, например, прочитать произвольные файлы на хосте. Информация об уязвимости и уязвимых версиях находится вSecurity Advisory.
CVE-CVE-2024-47881 , обнаруженная вOpenRefine в версиях с 3.4 до 3.8.3, приводит кRemote Code Execution. Проблема заключалась в возможности загрузки DLL через манипулирование именем базы данных в методеgetDatabaseUrl()(см.source code), что позволяло злоумышленнику подгружать DLL файлы и исполнять произвольный код. Висправлениибыли добавлены методы контроля имени БД и дополнительные настройки ограничения режима доступа (read-only).
CVE-CVE-2024-49766 , выявленная вWerkzeug в версиях до 3.0.5, приводит кPath Traversal. Уязвимость обусловлена отсутствием обработки UNC путей в методеsafe_join()при использовании функцииos.path.isabs()из версии Python < 3.11 (см.source code), что позволяло злоумышленнику выполнить обход пути в ОС Windows. Висправлениибыла добавлена проверкаfilename.startswith("/")для контроля UNC пути.
CVE-CVE-2024-48963 , обнаруженная вSnyk PHP CLI Plugin в версиях до 1.10.0, приводит кOS Command Injection. Проблема заключалась в прямом попадании недоверенных данных в результирующую строку, которая передавалась в методchildProcess.spawnSync()(см.source code) что позволяло внедрить команды ОС используя пути к сканируемым файлам. Висправленииметод формирования аргументов, передаваемых в методchildProcess.spawnSync(), был заменен на использование параметризированного подхода
CVE-CVE-2024-47821 , выявленная в модулеpyload-ng в версии 0.5.0, приводит кRemote Code Execution (RCE). Уязвимость обусловлена наличием возможности использования системных путей для хранения пользовательских файлов, что могло потенциально привести к выполнению произвольного кода после загрузки файла. Висправлениибыли введены проверки на разрешенные пути для каталога хранения загружаемых файлов.
CVE-CVE-2024-9488 , обнаруженная в плагинеComments-wpdiscuz для WordPress в версиях до 7.6.25,приводит кAuthentication Bypass. Проблема заключалась в недостаточной проверке пользователей, которые использовали возможность аутентификации с помощьюsocial login token, что позволяло неавторизированному злоумышленнику войти под видом любого пользователя, в том числе и под видом пользователей с правами администратора. Информация об уязвимости и уязвимых версиях находится вSecurity Advisory.
CVE-CVE-2024-51483 , выявленная вchangedetection.ioв версиях до 0.47.05, приводит кPath Traversal. Причиной уязвимости  является обход контроля использования схемыfile://при доступе к файлам, с помощью добавленияsource:к полезной нагрузке. Висправлениибыли добавлены дополнительные проверки сочетанийsource:иfile://с использованием функцийis_safe_url()иre.search().
CVE-CVE-2024-51482 , обнаруженная вzoneminder в версиях с 1.37 по 1.37.64, приводит кSQL-Injection. Проблема заключалась в попадании пользовательских данных через параметрtidнапрямую в SQL запрос (см.source code). Висправлениибыла добавлена обработка параметраtidс помощью методаvalidCardinal(), который  проверяет на целочисленные значения, и  формирование SQL запроса стало выполняться с помощью параметризации.
CVE-CVE-2024-49380 , выявленная вPlenti в версиях до 0.7.2, приводит кArbitrary File Writing. Уязвимость обусловлена отсутствием ограничений каталогов, в которых можно производить запись (см.source code), что позволяло злоумышленнику записать содержимое в произвольные файлы. Висправлениибыла скорректирована функция формирования пути к файлу через использование текущей директории (os.Getwd()) и санитизации  названий файлов (filepath.Clean()).
CVE-CVE-2024-48910 , обнаруженная вdompurify в версиях до 2.4.2, приводит кPrototype Pollution. Проблема заключалась в возможности злоумышленника влиять на свойства объекта через загрязнение прототипа, от которого он создан (см.source code), что позволяло злоумышленнику, например, изменять списки разрешенных атрибутов и внедрять произвольный JavaScript код, тем самым выполняя обход функцииsanitize(). Висправлениив условие проверки возвращаемого значения функцииhasOwnProperty()было добавлено строгое равенство через оператор '===' наtrue.
CVE-CVE-2024-38094 , обнаруженная вMicrosoft SharePoint 2019 в версиях до 16.0.10412.20001приводит кRemote Code Execution (RCE). Проблема заключалась в возможности аутентифицированного злоумышленника с правамиSite Ownerвнедрить и выполнить произвольный код, используя недостаток десериализации данных на конечной точке APIvti_bin/client.svc/ProcessQuery. Информация об уязвимости и уязвимых версиях находится вSecurity Advisory.
CVE-CVE-2024-45794 , выявленная вdevtron в версиях до 0.7.1, приводит кSQL Injection. Уязвимость обусловлена попаданием пользовательских данных через параметрaccessTypeнапрямую в SQL запрос при обращении к CreateUser API/orchestrator/user(см.source code). Висправленииформирование SQL запроса стало выполняться с помощью параметризации.
CVE-CVE-2024-51501 , обнаруженная вRefit в версиях до 8.0.0, приводит кCRLF Injection. Проблема заключалась в применении функцииTryAddWithoutValidation(), которая не исключает символыCRLFпри добавлении новых заголовков в HTTP запросы (см.source code). Висправленииперед добавлением заголовка, его значения стали пропускаться через методEnsureSafe(), который используется для очистки передаваемых значений от символовCRLF.
CVE-CVE-2024-49770 , выявленная вoak в версиях до 17.1.2, приводит кPath Traversal. Уязвимость обусловлена использованиемdecodeComponent()для обработки путей (см.source code), что позволяло злоумышленнику обойти проверку и получить доступ к произвольным файлам на хосте. Висправлениифункция была заменена на встроенную функциюdecode()для декодирования путей к файлам.
CVE-CVE-2024-51989 , обнаруженная вPassword Pusher Application в версиях с 1.41.1 до 1.48.0, приводит кCross-Site Scripting (XSS). Проблема заключалась в попадании внешних данных через параметрconfirmation_tokenв состав html-кода (см.source code), что позволяет злоумышленнику внедрить вредоносный JavaScript код. Висправлениибыла добавлена функция экранированияh()параметраconfirmation_tokenпри его добавлении в html-код.
CVE-CVE-2024-10470 , обнаруженная вLearning Management System for WordPress в версиях до 4.963, приводит кPath Traversal. Проблема заключалась в возможности злоумышленника читать и удалять произвольные файлы, используя недостатки в проверках путей к файлу и разрешений в функцияхreadfile()иunlink(). Информация об уязвимости и уязвимых версиях находится вSecurity Advisory.
CVE-CVE-2024-52293 , обнаруженная вCraftCMS в версиях с 4.0.0-RC1 до 4.12.1, приводит кPath Traversal. Проблема заключалась в возможности формирования пути к файлу на основе пользовательских данных без их фильтрации (см.source code), что позволяло злоумышленнику разместить шаблон в системной директории. Висправлениирезультирующее значении пути, возвращаемое функциейabsolutePath(), пропускается через фильтрующий методstatic::normalizePath().
CVE-CVE-2024-5125 , выявленная вlollms-webui в версиях до 9.8, приводит кCross-Site Scripting (XSS). Уязвимость обусловлена попаданием пользовательских файлов SVG в функциюexecute_svg()(см.source code), что позволяло злоумышленнику внедрить в такие файлы произвольный JavaScript код, который в последующем выполнится. Висправлениибыла добавлена функцияsanitize_svg(), которая удаляет элементыscriptи элементы с атрибутами, начинающимися сon, в загружаемых SVG файлах.
CVE-CVE-2024-51747 , обнаруженная вkanboard в версиях до 1.2.41, приводит кPath Traversal. Проблема заключалась в попадании пользовательских данных без обработки в функции взаимодействия с файлами классаFileStorage(см.source code), что позволяло злоумышленнику читать и удалять произвольные файлы в файловой системе. Висправлениив конструкторе добавили проверки для инициализации базового каталога$baseDir, а также был добавлен методgetRealFilePath()для контроля пути к файлу.
CVE-CVE-2024-52010 , выявленная вzoraxy в версиях с  2.6.1 по 3.1.2, приводит кOS Command Injection. Уязвимость обусловлена использованием значений из параметраusernameв функцииexec.Command()(см.source code), что позволяло злоумышленнику при конфигурации подключения через веб-интерфейс внедрить произвольные команды ОС и выполнить их. Висправлениибыл добавлен методValidateUsernameAndRemoteAddr()для контроля значенийusernameиremoteIpAddrс помощью набора регулярных выражений.
CVE-CVE-2024-10979 , обнаруженная вPostgreSQL PL/Perl в версиях до 17.1приводит кBroken Access Control. Проблема заключалась в возможности непривилегированного пользователя СУБД изменять значения переменных среды процесса, что в дальнейшем позволяло ему выполнить произвольный код. Информация об уязвимости и уязвимых версиях находится вSecurity Advisory. Информация об эксплуатации данной уязвимости есть встатье от RedRays
CVE-CVE-2024-52803 , обнаруженная вllamafactory в версиях до 0.9.1, приводит кOS Command Injection. Проблема заключалась в попадании пользовательских данных в функциюPopen()с флагомshell=True(см.source code), что позволяло внедрить произвольные команды ОС и выполнить их. Висправлениифлагshell=Trueв функцииPopen()был удален, также метод формирования аргумента процесса был заменен на использование листа, а не форматированной строки.
CVE-CVE-2024-52304 , выявленная вaiohttp в версиях до 3.10.11, приводит кHTTP Request Smuggling. Уязвимость обусловлена отсутствием обработки символа перевода строки"\n"при парсинге http-запросов (см.source code), что позволяло злоумышленнику, например, получить доступ к конфиденциальной информации. Висправлениибыло добавлено условие для проверки наличия  символов"\n".
CVE-CVE-2024-52597 , обнаруженнаяв 2FAuth в версиях до 5.4.1, приводит кCross-Site Scripting (XSS). Проблема заключалась в отсутствии безопасной обработки загружаемых файлов типа SVG (см.source code), что позволяло внедрять произвольныйJavaScriptкод внутрь файла, который будет выполнен при обращении к нему. Висправлениибыла добавлена библиотекаenshrined\svgSanitizeдля санитизации загружаемыхsvgфайлов.
CVE-CVE-2024-48917 , выявленнаявphpspreadsheet в версиях до 1.29.4, приводит кXML External Entity (XXE). Уязвимость обусловлена небезопасным использованием регулярных выражений в методеfindCharSet()для определения значения поляencoding(см.source code), что позволяло злоумышленнику обойти механизмы валидации и, например, внедрять произвольные сущности в передаваемом XML. Висправленииразработчики отказались от использования регулярных выражений и стали вызывать методguessEncodingBom()для определения значения поля encoding, также была добавлена санитизация значений\0с помощьюstr_replace().
CVE-CVE-2024-10924 , обнаруженная в плагинеReally Simple Security для Word Press в версиях с 9.0.0 до 9.1.1, что приводит кAuthentication Bypass. Проблема заключалась в возможности неаутентифицированного злоумышленника войти под учетной записью любого пользователя, включая администратора, из-за неправильной обработки ошибок проверки пользователя при взаимодействииREST APIс функциейcheck_login_and_get_user(). Информация об уязвимости и уязвимых версиях находится вSecurity Advisory.
CVE-CVE-2024-51058 , обнаруженная вtcpdf в версиях до 6.7.5, приводит кLocal File Inclusion (LFI). Проблема заключалась в возможности через атрибутаsrcтэга<img>выполнить выход из каталога (см.source code), что позволяло злоумышленнику получить доступ к произвольным файлам на хосте. Висправлениибыло добавлена условие для проверки содержания подстроки../в переменной$imgsrcс помощьюstr_contains().