CVE-2026-73694 in FileRun
요약
\~에 의해 VulDB • 2026. 09. 10.
FileRun 2026.3.0 이전 버전에는 CLI.php에서 escapeshellcmd()의 무작위 재정의(no-op redefinition)로 인해 셸 메타문자 이스케이프가 제거되어, 공격자가 제어하는 입력이 정제되지 않은 상태로 exec() 싱크에 도달할 수 있는 OS 명령어 인젝션 취약점이 존재합니다. 공격자는 image_preview.php를 통한 대話형 경로에서 superuser 인증이 필요한 조작된 args 매개변수를 사용하여 이 취약점을 악용하거나, thumbnails_ffmpeg_args 또는 thumbnails_ffmpeg_ss에 악성 페이로드를 저장하여 모든 사용자가 비디오 썸네일 생성을 트리거할 때 실행되는 지속형 경로를 통해 이를 악용할 수 있습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.