CVE-2026-73680 in Cockpit CMS
Zusammenfassung
von VulDB • 15.08.2026
Cockpit CMS 2.14.0 und frühere Versionen enthalten eine Command Injection-Schwachstelle in der FFmpeg-Integration, die es authentifizierten Benutzern mit nur den Berechtigungen assets/upload ermöglicht, beliebige Befehle auszuführen, indem sie eine Videodatei mit einem Dateinamen hochladen, der Shell-Metazeichen enthält. Der nicht bereinigte Dateiname wird vor dem Ausführen des slugify()-Sanitizers in einen über Process::fromShellCommandline() ausgeführten Shell-Befehl interpoliert, wodurch injizierte Shell-Metazeichen wie Backticks, $(), und Semikolons den FFmpeg-Kontext verlassen können und als Webserver-Benutzer ausgeführt werden.
If you want to get best quality of vulnerability data, you may have to visit VulDB.