CVE-2026-73699 in FileRun
Сводка
по VulDB • 10.09.2026
FileRun до версии 2026.3.0 содержит уязвимость инъекции объектов PHP (PHP object injection), которая позволяет аутентифицированным злоумышленникам выполнять произвольный код путем эксплуатации некорректных параметров, передаваемых в функцию unserialize() внутри метода Perms::getPerms(), где используется позиционный массив вместо требуемого именованного ключом массива для отключения инстанциации классов. Злоумышленники с доступом на запись к базе данных могут внедрить сериализованный цепочку гаджетов (gadget chain) в столбцы таблицы разрешений, которые обрабатываются при каждой загрузке аутентифицированной страницы, чтобы записывать произвольные файлы, такие как PHP-вебшеллы, в пути с доступом через веб.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.