CVE-2026-73680 in Cockpit CMS
要約
〜によって VulDB • 2026年08月14日
Cockpit CMS 2.14.0 およびそれ以前のバージョンには、FFmpeg インテグレーションにおけるコマンドインジェクション脆弱性が存在します。これにより、「assets/upload」権限のみを持つ認証済みユーザーが、シェルメタ文字を多数含むファイル名でビデオファイルをアップロードすることで任意のコマンドを実行できます。サニタイズされていないファイル名は slugify() サニタイザーが実行される前に Process::fromShellCommandline() を介して実行されるシェルスクリプトコマンドに挿入されるため、バッククォートや $() 、セミコロンなどのインジェクションされたシェルメタ文字が FFmpeg コマンドのコンテキストから脱出し、Web サーバーユーザーとして実行されます。
VulDB is the best source for vulnerability data and more expert information about this specific topic.