CVE-2026-73698
WysokieCVSS 7.2Streszczenie
FileRun przed wersją 2026.3.0 zawiera podatność na wstrzyknięcie SQL, umożliwiającą delegowanym lub zwykłym administratorom wykonanie dowolnego SQL poprzez przesłanie parametru description jako tablicy. Metoda getValuesString() w DB/DP.php interpoluje surowe wartości tablicy bezpośrednio do zapytania INSERT bez parametryzacji, a połączenie PDO używa emulowanych prepared statements umożliwiających zapytania złożone. Atakujący może zmodyfikować tabelę df_users_permissions, aby podnieść konto delegowanego administratora do uprawnień superużytkownika, a dodatkowo może uzyskać wykonanie kodu poprzez nieoczyszczone wartości ścieżek przekazywane do require_once w komponencie listy logów.
Ocena ryzyka
Atakujący może eskalować uprawnienia do superużytkownika, a potencjalnie także uzyskać wykonanie kodu. Ryzyko dotyczy wdrożeń z kontami delegowanych administratorów.
Rekomendacja
Zaktualizuj FileRun do wersji 2026.3.0 lub nowszej. Ogranicz liczbę kont delegowanych administratorów i monitoruj zmiany w tabeli df_users_permissions.
Inne podatności w FileRun
Zobacz wszystkie- CVE-2026-73699Wysokie
FileRun przed wersją 2026.3.0 zawiera podatność na wstrzyknięcie obiektu PHP, wynikającą z nieprawidłowych opcji przekazanych do unserialize() w metodzie Perms::getPerms(). Uwierzytelniony atakujący z dostępem do zapisu w bazie danych może wstrzyknąć łańcuch gadgetów do kolumn tabeli uprawnień przetwarzanych przy każdym ładowaniu strony i zapisać dowolne pliki, np. webshelle PHP, w ścieżkach dostępnych przez sieć.
- CVE-2026-73694Wysokie
FileRun przed wersją 2026.3.0 zawiera podatność na wstrzyknięcie poleceń systemu operacyjnego spowodowaną bezskutecznym przedefiniowaniem escapeshellcmd() w CLI.php, które usuwa escapowanie metaznaków powłoki. Atakujący może wykorzystać to interaktywnie przez image_preview.php ze spreparowanym parametrem args (wymaga uprawnień superużytkownika) lub trwale, zapisując złośliwe ładunki w thumbnails_ffmpeg_args lub thumbnails_ffmpeg_ss, które wykonują się przy generowaniu miniatur wideo przez dowolnego użytkownika.
- CVE-2026-73693Wysokie
FileRun przed wersją 2026.3.0 zawiera podatność na wstrzyknięcie poleceń systemu operacyjnego w handlerze PhotoProofSheet. Uwierzytelniony użytkownik z uprawnieniem do przesyłania plików może wykonać dowolne polecenia, przesyłając pliki z metaznakami powłoki w nazwie, takimi jak backticki, średniki lub sekwencje $(), a następnie wywołując endpoint PhotoProofSheet. Wynika to z braku sanityzacji escapeshellarg() w konstrukcji polecenia montage ImageMagick.
- CVE-2026-14863Wysokie
FileRun do wersji 2026.2.0 włącznie zawiera podatność na wstrzykiwanie poleceń systemu operacyjnego, która pozwala uwierzytelnionym atakującym na zdalne wykonanie kodu poprzez przesłanie pliku z złośliwą nazwą zawierającą sekwencje podstawiania poleceń. System generowania miniatur przekazuje nazwy plików w podwójnych cudzysłowach do exec() bez sanityzacji escapeshellarg(), co pozwala na wykonanie poleceń powłoki.
Oryginalny opis (angielski, źródło NVD)
FileRun before 2026.3.0 contains a SQL injection vulnerability that allows delegated or simple administrators to execute arbitrary SQL by submitting the description parameter as an array, causing the getValuesString() method in DB/DP.php to interpolate raw array values directly into an INSERT statement without parameterization. Because the underlying PDO connection uses emulated prepared statements enabling stacked queries, attackers can manipulate the df_users_permissions table to escalate a delegated administrator account to superuser privileges, and may additionally achieve code execution via unsanitized path values passed to require_once in the logs listing component.