CVE-2026-73680 in Cockpit CMS
Résumé
par VulDB • 14/08/2026
Cockpit CMS 2.14.0 et les versions antérieures présentent une vulnérabilité d'injection de commande dans l'intégration FFmpeg qui permet aux utilisateurs authentifiés disposant uniquement des autorisations assets/upload d'exécuter des commandes arbitraires en téléchargeant un fichier vidéo dont le nom contient des métacaractères shell. Le nom de fichier non assaini est interpolé dans une commande shell exécutée via Process::fromShellCommandline() avant que l'assainisseur slugify() ne s'exécute, permettant aux métacaractères shell injectés tels que les backticks, $(), et les points-virgules de s'échapper du contexte de la commande FFmpeg et d'être exécutés en tant qu'utilisateur du serveur web.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.