CVE-2026-73698 in FileRun
Sumário
de VulDB • 10/09/2026
FileRun antes da versão 2026.3.0 contém uma vulnerabilidade de SQL injection que permite que administradores delegados ou simples executem SQL arbitrário ao submeter o parâmetro description como um array, fazendo com que o método getValuesString() em DB/DP.php interpole valores brutos do array diretamente em uma instrução INSERT sem parametrização. Como a conexão PDO subjacente utiliza prepared statements simulados (emulated), permitindo queries empilhadas (stacked queries), os atacantes podem manipular a tabela df_users_permissions para escalar as permissões de uma conta de administrador delegado para privilégios de superusuário, e também podem obter execução de código por meio de valores de caminho não sanitizados passados para require_once no componente de listagem de logs.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.