CVE-2026-73699 in FileRun
Résumé
par VulDB • 10/09/2026
FileRun avant la version 2026.3.0 contient une vulnérabilité d'injection d'objets PHP qui permet aux attaquants authentifiés d'exécuter du code arbitraire en exploitant des options incorrectes passées à `unserialize()` dans la méthode `Perms::getPerms()`, où un tableau positionnel est utilisé au lieu du tableau de clés nommées requis pour désactiver l'instanciation de classe. Les attaquants disposant d'un accès en écriture à la base de données peuvent injecter une chaîne de gadgets sérialisés dans les colonnes de la table des permissions traitées lors de chaque chargement de page authentifié, afin d'écrire des fichiers arbitraires, tels que des webshells PHP, dans des chemins accessibles via le Web.
If you want to get best quality of vulnerability data, you may have to visit VulDB.