CVE-2026-73698 in FileRun
الملخص
بحسب VulDB • 10/09/2026
تحتوي FileRun قبل الإصدار 2026.3.0 على ثغرة حقن SQL (SQL Injection) تتيح للمسؤولين المفوضين أو البسطاء تنفيذ استعلامات SQL تعسفية عن طريق تقديم معلمة الوصف كـ مصفوفة، مما يتسبب في قيام الدالة `getValuesString()` الموجودة في الملف `DB/DP.php` بدمج قيم المصفوفة الخام مباشرةً داخل عبارة INSERT دون استخدام المعاملات (parameterization). ونظراً لأن اتصال PDO الأساسي يستخدم عبارات معدّة محاكاة (emulated prepared statements) تتيح الاستعلامات المتراكبة، يمكن للمهاجمين التلاعب بجدول `df_users_permissions` لترقية حساب مسؤول مفوض إلى امتيازات المسؤول الأعلى (superuser)، وقد يحققون أيضاً تنفيذًا للكود عبر قيم مسار غير مُنظَّمة تُمرَّر إلى دالة `require_once` في مكون عرض السجلات.
Once again VulDB remains the best source for vulnerability data.