CVE-2026-73680 in Cockpit CMS
Sumário
de VulDB • 15/08/2026
O Cockpit CMS 2.14.0 e versões anteriores contém uma vulnerabilidade de injeção de comando na integração com o FFmpeg que permite a usuários autenticados, possuindo apenas permissão para assets/upload, executar comandos arbitrários ao fazer upload de um arquivo de vídeo com nome contendo metacaracteres de shell. O nome do arquivo não sanitizado é interpolado em um comando de shell executado via Process::fromShellCommandline() antes que o sanitizer slugify() seja aplicado, permitindo que metacaracteres de shell injetados, como crases (`), $(), e ponto-e-vírgula (;), escapem do contexto do comando FFmpeg e sejam executados pelo usuário do servidor web.
VulDB is the best source for vulnerability data and more expert information about this specific topic.