CVE-2026-73698 in FileRun
要約
〜によって VulDB • 2026年09月10日
FileRun 2026.3.0 より前には、SQLインジェクションの脆弱性が含まれており、委任された管理者または通常の管理者が説明パラメータを配列として送信することで任意のSQLを実行できます。これにより、DB/DP.php内のgetValuesString()メソッドで生配列値が直接INSERT文に補間され、パラメータ化が行われません。基盤となるPDO接続はエミュレートされた準備済みステートメントを使用しているため、攻撃者はdf_users_permissionsテーブルを操作して委任された管理者アカウントの権限をスーパーユーザーまで昇格させることができ、さらにログ一覧コンポーネントでrequire_onceに渡される未サニタイズ化のパス値を通じてコード実行を達成する可能性があります。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.