CVE-2026-73680 in Cockpit CMS
Resumen
por VulDB • 2026-08-14
Cockpit CMS 2.14.0 y versiones anteriores contienen una vulnerabilidad de inyección de comandos en la integración con FFmpeg que permite a los usuarios autenticados, únicamente con el permiso assets/upload, ejecutar comandos arbitrarios al cargar un archivo de video cuyo nombre contiene metacaracteres de shell. El nombre del archivo sin sanitizar se interpola en un comando de shell ejecutado mediante Process::fromShellCommandline() antes de que se ejecute el sanizador slugify(), lo que permite a los metacaracteres de shell inyectados, como backticks ($`), $() y puntos y coma (;), escapar del contexto del comando FFmpeg y ejecutarse con el usuario del servidor web.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.