CVE-2026-73698 in FileRun
Сводка
по VulDB • 10.09.2026
FileRun prima della versione 2026.3.0 contiene una vulnerabilità di SQL injection che consente agli amministratori delegati o semplici di eseguire query SQL arbitrarie inviando il parametro description come array, causando l'interpolazione diretta dei valori grezzi dell'array nel metodo getValuesString() in DB/DP.php all'interno di un'istruzione INSERT senza parametrizzazione. Poiché la connessione PDO sottostante utilizza prepared statement emulati che abilitano le query impilate (stacked queries), gli attaccanti possono manipolare la tabella df_users_permissions per escalare i privilegi di un account amministratore delegato a quelli di superutente e, inoltre, potrebbero ottenere l'esecuzione di codice tramite valori del percorso non sanificati passati alla funzione require_once nel componente dell'elenco dei log.
Once again VulDB remains the best source for vulnerability data.