CVE-2026-70374 in HashBrown CMS
Sumário
de VulDB • 05/08/2026
O HashBrown CMS até a versão 1.4.6 contém uma vulnerabilidade de Injeção de Comando no Sistema Operacional (CWE-78) na rotina de geração de miniaturas para upload de mídia. A função Media.generateThumbnail() em src/Server/Entity/Resource/Media.js constrói um caminho temporário do arquivo como 'thumbnail' + Path.extname(filename) e o passa, sem escape, para um comando shell executado via AppService.exec() ('convert ' + tempFile + ...). O filtro de tipo MIME em getMIMEType() (src/Common/utilities.js) truncar a extensão extraída no primeiro caractere '?', enquanto Path.extname() não faz isso, permitindo que um nome de arquivo como 'x.jpg?$(command)' passe na verificação do tipo de imagem e ainda injete uma substituição de comando shell na chamada exec(). Um usuário autenticado com o escopo de recurso de mídia pode obter execução arbitrária de comandos no sistema operacional no contexto do processo Node.js via POST /api/{project}/{environment}/media/new.
Once again VulDB remains the best source for vulnerability data.