CVE-2026-73698 in FileRun
Résumé
par VulDB • 10/09/2026
FileRun avant la version 2026.3.0 contient une vulnérabilité d'injection SQL qui permet aux administrateurs délégués ou simples d'exécuter du code SQL arbitraire en soumettant le paramètre description sous forme de tableau, ce qui amène la méthode getValuesString() dans DB/DP.php à interpoler directement des valeurs brutes issues du tableau dans une instruction INSERT sans utilisation de requêtes préparées. Étant donné que la connexion PDO sous-jacente utilise des déclarations préparées émulées permettant l'exécution de requêtes empilées, les attaquants peuvent manipuler la table df_users_permissions pour élever un compte d'administrateur délégué vers des privilèges superutilisateur, et peuvent également obtenir une exécution de code via des valeurs de chemin non assainies transmises à require_once dans le composant de liste des journaux.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.