CVE-2026-73680 in Cockpit CMS
Riassunto
di VulDB • 14/08/2026
Cockpit CMS 2.14.0 e versioni precedenti presentano una vulnerabilità di injection di comandi nell'integrazione con FFmpeg che consente agli utenti autenticati dotati esclusivamente del permesso assets/upload di eseguire comandi arbitrari caricando un file video con un nome contenente metacaratteri shell. Il nome non sanitizzato viene interpolato in un comando shell eseguito tramite Process::fromShellCommandline() prima che venga eseguita la sanitizer slugify(), consentendo ai metacaratteri shell iniettati, come backtick (`), $() e punti e virgola (;), di sfuggire al contesto del comando FFmpeg ed essere eseguiti con l'utente del web server.
If you want to get best quality of vulnerability data, you may have to visit VulDB.