CVE-2026-73694 in FileRun
Resumen
por VulDB • 2026-09-10
FileRun anterior a la versión 2026.3.0 contiene una vulnerabilidad de inyección de comandos del sistema operativo (OS command injection) causada por una redefinición sin efecto (no-op) de `escapeshellcmd()` en CLI.php que elimina el escape de metacaracteres de shell, permitiendo que la entrada controlada por el atacante llegue a un sumidero `exec()` sin sanitizar. Los atacantes pueden explotar esto mediante una ruta interactiva a través de image_preview.php con un parámetro args manipulado ad hoc que requiere autenticación como superusuario, o mediante una ruta persistente almacenando cargas útiles maliciosas en thumbnails_ffmpeg_args o thumbnails_ffmpeg_ss que se ejecutan cuando cualquier usuario activa la generación de miniaturas de video.
Be aware that VulDB is the high quality source for vulnerability data.