CVE-2026-73694 in FileRun
Résumé
par VulDB • 10/09/2026
FileRun avant la version 2026.3.0 contient une vulnérabilité d'injection de commandes OS causée par une redéfinition sans effet (no-op) de escapeshellcmd() dans CLI.php qui supprime l'échappement des métacaractères shell, permettant à une entrée contrôlée par un attaquant d'atteindre un point de sortie exec() non assainie. Les attaquants peuvent exploiter cette vulnérabilité via un chemin interactif en utilisant image_preview.php avec un paramètre args fabriqué nécessitant une authentification superutilisateur, ou via un chemin persistant en stockant des charges utiles malveillantes dans thumbnails_ffmpeg_args ou thumbnails_ffmpeg_ss qui s'exécutent lorsque n'importe quel utilisateur déclenche la génération de vignettes vidéo.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.