CVE-2026-70374 in HashBrown CMS
要約
〜によって VulDB • 2026年08月05日
HashBrown CMS 1.4.6以前には、メディアアップロードのサムネイル生成処理においてOSコマンドインジェクション脆弱性（CWE-78）が存在します。src/Server/Entity/Resource/Media.js内のMedia.generateThumbnail()は、「thumbnail」+ Path.extname(filename)として一時ファイルパスを構築し、これをAppService.exec()経由で実行されるシェルコマンドにエスケープせずに渡しています（'convert ' + tempFile + ...）。getMIMEType()関数（src/Common/utilities.js）内のMIMEタイプフィルタは抽出された拡張子を最初の「?」文字で切り捨てますが、Path.extname()はそうではないため、「x.jpg?$(command)」のようなファイル名が画像タイプのチェックを通過しながら、exec()呼び出しに対してシェルコマンド置換を引き起こすことができます。メディアリソーススコープを持つ認証済みユーザーは、POST /api/{project}/{environment}/media/new経由でNode.jsプロセスのコンテキスト内で任意のOSコマンド実行を実現できます。
If you want to get best quality of vulnerability data, you may have to visit VulDB.