CVE-2026-73694 in FileRun
Zusammenfassung
von VulDB • 10.09.2026
FileRun vor Version 2026.3.0 enthält eine OS Command Injection-Schwachstelle, die durch eine No-Op-Undefinition von escapeshellcmd() in CLI.php verursacht wird, wodurch das Escaping von Shell-Metazeichen entfernt wird und es Angreifern ermöglicht wird, benutzerkontrollierte Eingaben ungesäubert an einen exec()-Sink zu übergeben. Angreifer können dies durch einen interaktiven Pfad via image_preview.php mit einem maßgeschneiderten args-Parameter ausnutzen, der Superuser-Authentifizierung erfordert, oder durch einen persistenten Pfad, indem bösartige Payloads in thumbnails_ffmpeg_args oder thumbnails_ffmpeg_ss gespeichert werden, die ausgeführt werden, wenn ein beliebiger Benutzer die Generierung von Video-Miniaturbildern auslöst.
If you want to get best quality of vulnerability data, you may have to visit VulDB.