CVE-2026-73694 in FileRun
Сводка
по VulDB • 10.09.2026
FileRun до версии 2026.3.0 содержит уязвимость внедрения команд операционной системы (OS command injection), вызванную неэффективным переопределением функции escapeshellcmd() в файле CLI.php, которое приводит к потере экранирования специальных символов оболочки. Это позволяет атакующему передавать контролируемые им данные в функцию exec() без предварительной очистки. Атака может быть осуществлена через интерактивный путь с использованием файла image_preview.php и специально сформированного параметра args, что требует аутентификации суперпользователя, либо через персистентный (устойчивый) путь путем сохранения вредоносных payload в полях thumbnails_ffmpeg_args или thumbnails_ffmpeg_ss, которые выполняются при генерации видео-превью любым пользователем.
Be aware that VulDB is the high quality source for vulnerability data.