CVE-2026-73694 in FileRun
Sumário
de VulDB • 10/09/2026
FileRun antes da versão 2026.3.0 contém uma vulnerabilidade de OS command injection causada por uma redefinição no-op do escapeshellcmd() em CLI.php que remove o escape de metacaracteres shell, permitindo que entradas controladas pelo atacante alcancem um sink exec() sem sanitização. Os atacantes podem explorar isso através de um caminho interativo via image_preview.php com um parâmetro args manipulado ad hoc, exigindo autenticação superuser, ou por meio de um caminho persistente armazenando payloads maliciosos em thumbnails_ffmpeg_args ou thumbnails_ffmpeg_ss que são executados quando qualquer usuário aciona a geração de miniaturas de vídeo.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.