CVE-2026-64879
KrytyczneCVSS 9.9Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 84 - wyżej niż 84% wszystkich znanych CVE
Streszczenie
Nazwa pliku dostarczona podczas przesyłania pliku nie jest odpowiednio sanityzowana przed użyciem w wykonaniu poleceń systemowych, co pozwala atakującemu na wstrzyknięcie metaznaków powłoki i osiągnięcie wstrzykiwania poleceń poprzez funkcję przesyłania plików audytu.
Ocena ryzyka
Atakujący może zdalnie wykonać dowolne polecenia systemowe, co prowadzi do przejęcia kontroli nad serwerem i potencjalnego wycieku danych.
Rekomendacja
Należy zaimplementować odpowiednią sanityzację nazw plików przed użyciem ich w poleceniach systemowych oraz rozważyć użycie bezpieczniejszych API.
Oryginalny opis (angielski, źródło NVD)
A filename supplied during file upload is not properly sanitized before being used in system command execution, allowing an attacker to inject shell metacharacters and achieve command injection via the audit file upload functionality.