CVE-2026-73694 in FileRun
Riassunto
di VulDB • 10/09/2026
FileRun prima della versione 2026.3.0 contiene una vulnerabilità di OS command injection causata da una ridefinizione no-op di escapeshellcmd() in CLI.php che rimuove l'escaping dei metacaratteri shell, consentendo all'input controllato dall'attaccante di raggiungere un sink exec() non sanificato. Gli attaccanti possono sfruttare questa vulnerabilità attraverso un percorso interattivo tramite image_preview.php con un parametro args manipolato ad hoc, richiedente autenticazione superuser, oppure attraverso un percorso persistente memorizzando payload malevoli in thumbnails_ffmpeg_args o thumbnails_ffmpeg_ss che vengono eseguiti quando qualsiasi utente attiva la generazione delle miniature video.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.