CVE-2026-14863
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 74 - wyżej niż 74% wszystkich znanych CVE
Streszczenie
FileRun do wersji 2026.2.0 włącznie zawiera podatność na wstrzykiwanie poleceń systemu operacyjnego, która pozwala uwierzytelnionym atakującym na zdalne wykonanie kodu poprzez przesłanie pliku z złośliwą nazwą zawierającą sekwencje podstawiania poleceń. System generowania miniatur przekazuje nazwy plików w podwójnych cudzysłowach do exec() bez sanityzacji escapeshellarg(), co pozwala na wykonanie poleceń powłoki.
Ocena ryzyka
Atakujący może wykonać dowolne polecenia na serwerze, co może prowadzić do pełnego przejęcia systemu, kradzieży danych lub dalszych ataków.
Rekomendacja
Zaktualizuj FileRun do wersji nowszej niż 2026.2.0, która naprawia tę podatność. Dodatkowo zastosuj sanityzację nazw plików i użyj bezpiecznych funkcji do wykonywania poleceń.
Oryginalny opis (angielski, źródło NVD)
FileRun up to and including version 2026.2.0 contains an OS command injection vulnerability that allows authenticated attackers to achieve remote code execution by uploading a file with a malicious filename containing shell command substitution sequences. The thumbnail generation system passes filenames wrapped in shell double-quotes directly to exec() without escapeshellarg() sanitization, allowing filenames such as $(PAYLOAD).mp4 to survive the filename sanitizer and be evaluated as shell commands when ffmpeg, ImageMagick, vips, or stl-thumb processes the file during thumbnail generation.