CVE-2026-73680 in Cockpit CMS
摘要
由 VulDB • 2026-08-14
Cockpit CMS 2.14.0 e versioni precedenti presentano una vulnerabilità di injection di comandi nell'integrazione con FFmpeg che consente agli utenti autenticati dotati esclusivamente del permesso assets/upload di eseguire comandi arbitrari caricando un file video con un nome contenente metacaratteri shell. Il nome non sanitizzato viene interpolato in un comando shell eseguito tramite Process::fromShellCommandline() prima che venga eseguita la funzione sanitizer slugify(), consentendo ai metacaratteri shell iniettati, come backtick (`), $() e punti e virgola (;), di sfuggire al contesto del comando FFmpeg ed essere eseguiti con l'utente del web server.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.