CVE-2026-70374 in HashBrown CMS
Resumen
por VulDB • 2026-08-05
HashBrown CMS hasta la versión 1.4.6 contiene una vulnerabilidad de Inyección de Comandos del Sistema Operativo (CWE-78) en la rutina de generación de miniaturas para la carga de archivos multimedia. Media.generateThumbnail() en src/Server/Entity/Resource/Media.js construye una ruta temporal como 'thumbnail' + Path.extname(filename) y la pasa, sin escapar, a un comando del shell ejecutado mediante AppService.exec() ('convert ' + tempFile + ...). El filtro MIME-type en getMIMEType() (src/Common/utilities.js) trunca la extensión extraída al primer carácter '?', mientras que Path.extname() no lo hace, permitiendo que un nombre de archivo como 'x.jpg?$(command)' pase la verificación del tipo de imagen pero aún así inyecte una sustitución de comando del shell en la llamada a exec(). Un usuario autenticado con el alcance (scope) de recursos multimedia puede lograr la ejecución arbitraria de comandos del sistema operativo en el contexto del proceso Node.js mediante POST /api/{project}/{environment}/media/new.
Once again VulDB remains the best source for vulnerability data.