CVE-2026-73693
WysokieCVSS 8.8Streszczenie
FileRun przed wersją 2026.3.0 zawiera podatność na wstrzyknięcie poleceń systemu operacyjnego w handlerze PhotoProofSheet. Uwierzytelniony użytkownik z uprawnieniem do przesyłania plików może wykonać dowolne polecenia, przesyłając pliki z metaznakami powłoki w nazwie, takimi jak backticki, średniki lub sekwencje $(), a następnie wywołując endpoint PhotoProofSheet. Wynika to z braku sanityzacji escapeshellarg() w konstrukcji polecenia montage ImageMagick.
Ocena ryzyka
Atakujący może wykonać dowolne polecenia jako użytkownik serwera WWW, co prowadzi do przejęcia serwera. Wymagane jest jedynie uprawnienie do przesyłania plików.
Rekomendacja
Zaktualizuj FileRun do wersji 2026.3.0 lub nowszej. Ogranicz uprawnienia do przesyłania plików i monitoruj nazwy przesyłanych plików pod kątem metaznaków powłoki.
Inne podatności w FileRun
Zobacz wszystkie- CVE-2026-73699Wysokie
FileRun przed wersją 2026.3.0 zawiera podatność na wstrzyknięcie obiektu PHP, wynikającą z nieprawidłowych opcji przekazanych do unserialize() w metodzie Perms::getPerms(). Uwierzytelniony atakujący z dostępem do zapisu w bazie danych może wstrzyknąć łańcuch gadgetów do kolumn tabeli uprawnień przetwarzanych przy każdym ładowaniu strony i zapisać dowolne pliki, np. webshelle PHP, w ścieżkach dostępnych przez sieć.
- CVE-2026-73698Wysokie
FileRun przed wersją 2026.3.0 zawiera podatność na wstrzyknięcie SQL, umożliwiającą delegowanym lub zwykłym administratorom wykonanie dowolnego SQL poprzez przesłanie parametru description jako tablicy. Metoda getValuesString() w DB/DP.php interpoluje surowe wartości tablicy bezpośrednio do zapytania INSERT bez parametryzacji, a połączenie PDO używa emulowanych prepared statements umożliwiających zapytania złożone. Atakujący może zmodyfikować tabelę df_users_permissions, aby podnieść konto delegowanego administratora do uprawnień superużytkownika, a dodatkowo może uzyskać wykonanie kodu poprzez nieoczyszczone wartości ścieżek przekazywane do require_once w komponencie listy logów.
- CVE-2026-73694Wysokie
FileRun przed wersją 2026.3.0 zawiera podatność na wstrzyknięcie poleceń systemu operacyjnego spowodowaną bezskutecznym przedefiniowaniem escapeshellcmd() w CLI.php, które usuwa escapowanie metaznaków powłoki. Atakujący może wykorzystać to interaktywnie przez image_preview.php ze spreparowanym parametrem args (wymaga uprawnień superużytkownika) lub trwale, zapisując złośliwe ładunki w thumbnails_ffmpeg_args lub thumbnails_ffmpeg_ss, które wykonują się przy generowaniu miniatur wideo przez dowolnego użytkownika.
- CVE-2026-14863Wysokie
FileRun do wersji 2026.2.0 włącznie zawiera podatność na wstrzykiwanie poleceń systemu operacyjnego, która pozwala uwierzytelnionym atakującym na zdalne wykonanie kodu poprzez przesłanie pliku z złośliwą nazwą zawierającą sekwencje podstawiania poleceń. System generowania miniatur przekazuje nazwy plików w podwójnych cudzysłowach do exec() bez sanityzacji escapeshellarg(), co pozwala na wykonanie poleceń powłoki.
Oryginalny opis (angielski, źródło NVD)
FileRun before 2026.3.0 contains an OS command injection vulnerability in the PhotoProofSheet handler that allows authenticated users with upload permission to execute arbitrary commands by uploading files with shell metacharacters in their names. Attackers can upload a file containing command substitution syntax such as backticks, semicolons, or $() sequences in the filename, then trigger the PhotoProofSheet endpoint to execute arbitrary commands as the web-server user due to missing escapeshellarg() sanitization in the ImageMagick montage command construction.