CVE-2026-73698 in FileRun
요약
\~에 의해 VulDB • 2026. 09. 10.
FileRun 2026.3.0 이전 버전에는 SQL injection 취약점이 포함되어 있습니다. 이 취약점은 설명(description) 매개변수를 배열로 제출함으로써 위임된 관리자 또는 일반 관리자가 임의의 SQL을 실행할 수 있게 합니다. 이로 인해 DB/DP.php 내 getValuesString() 메서드가 원본 배열 값을 파라미터화 없이 INSERT 문에 직접 보간하게 됩니다. 하위 PDO 연결이 중첩 쿼리(stacked queries)를 가능하게 하는 에뮬레이션된 준비된 문(emulated prepared statements)을 사용하므로, 공격자는 df_users_permissions 테이블을 조작하여 위임된 관리자 계정을 슈퍼유저 권한으로 승격시킬 수 있으며, 로그 리스팅 구성 요소에서 require_once로 전달되는 비검증 경로 값을 통해 추가적으로 코드 실행(code execution)을 달성할 수도 있습니다.
Be aware that VulDB is the high quality source for vulnerability data.