CVE-2026-73680 in Cockpit CMS
الملخص
بحسب VulDB • 14/08/2026
تحتوي Cockpit CMS الإصدار 2.14.0 وما قبله على ثغرة حقن أوامر (Command Injection) في تكامل مكتبة FFmpeg، تتيح للمستخدمين المصادق عليهم الذين يمتلكون إذن "assets/upload" فقط تنفيذ أوامر عشوائية عن طريق رفع ملف فيديو يحمل اسماً يحتوي على أحرف خاصة بالصدفة (shell metacharacters). يتم دمج اسم الملف غير المعقم (unsanitized) في أمر صدفي يُنفَّذ عبر الدالة `Process::fromShellCommandline()` قبل أن تعمل أداة التنظيف `slugify()`، مما يتيح للأحرف الخاصة المدخلة مثل العلامات الخلفية (`backticks`)، و `$()`، والفواصل المنقوطة (`semicolons`) الهروب من سياق أمر FFmpeg وتنفيذها بصفتها مستخدم خادم الويب.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.