CVE-2026-73699
WysokieCVSS 7.2Streszczenie
FileRun przed wersją 2026.3.0 zawiera podatność na wstrzyknięcie obiektu PHP, wynikającą z nieprawidłowych opcji przekazanych do unserialize() w metodzie Perms::getPerms(). Uwierzytelniony atakujący z dostępem do zapisu w bazie danych może wstrzyknąć łańcuch gadgetów do kolumn tabeli uprawnień przetwarzanych przy każdym ładowaniu strony i zapisać dowolne pliki, np. webshelle PHP, w ścieżkach dostępnych przez sieć.
Ocena ryzyka
Atakujący może uzyskać zdalne wykonanie kodu poprzez zapis webshella, co prowadzi do pełnego przejęcia serwera. Wymagane są uprawnienia uwierzytelnionego użytkownika oraz możliwość zapisu do bazy danych.
Rekomendacja
Zaktualizuj FileRun do wersji 2026.3.0 lub nowszej. Ogranicz uprawnienia zapisu do bazy danych i audytuj zawartość tabel uprawnień pod kątem nieoczekiwanych danych.
Inne podatności w FileRun
Zobacz wszystkie- CVE-2026-73698Wysokie
FileRun przed wersją 2026.3.0 zawiera podatność na wstrzyknięcie SQL, umożliwiającą delegowanym lub zwykłym administratorom wykonanie dowolnego SQL poprzez przesłanie parametru description jako tablicy. Metoda getValuesString() w DB/DP.php interpoluje surowe wartości tablicy bezpośrednio do zapytania INSERT bez parametryzacji, a połączenie PDO używa emulowanych prepared statements umożliwiających zapytania złożone. Atakujący może zmodyfikować tabelę df_users_permissions, aby podnieść konto delegowanego administratora do uprawnień superużytkownika, a dodatkowo może uzyskać wykonanie kodu poprzez nieoczyszczone wartości ścieżek przekazywane do require_once w komponencie listy logów.
- CVE-2026-73694Wysokie
FileRun przed wersją 2026.3.0 zawiera podatność na wstrzyknięcie poleceń systemu operacyjnego spowodowaną bezskutecznym przedefiniowaniem escapeshellcmd() w CLI.php, które usuwa escapowanie metaznaków powłoki. Atakujący może wykorzystać to interaktywnie przez image_preview.php ze spreparowanym parametrem args (wymaga uprawnień superużytkownika) lub trwale, zapisując złośliwe ładunki w thumbnails_ffmpeg_args lub thumbnails_ffmpeg_ss, które wykonują się przy generowaniu miniatur wideo przez dowolnego użytkownika.
- CVE-2026-73693Wysokie
FileRun przed wersją 2026.3.0 zawiera podatność na wstrzyknięcie poleceń systemu operacyjnego w handlerze PhotoProofSheet. Uwierzytelniony użytkownik z uprawnieniem do przesyłania plików może wykonać dowolne polecenia, przesyłając pliki z metaznakami powłoki w nazwie, takimi jak backticki, średniki lub sekwencje $(), a następnie wywołując endpoint PhotoProofSheet. Wynika to z braku sanityzacji escapeshellarg() w konstrukcji polecenia montage ImageMagick.
- CVE-2026-14863Wysokie
FileRun do wersji 2026.2.0 włącznie zawiera podatność na wstrzykiwanie poleceń systemu operacyjnego, która pozwala uwierzytelnionym atakującym na zdalne wykonanie kodu poprzez przesłanie pliku z złośliwą nazwą zawierającą sekwencje podstawiania poleceń. System generowania miniatur przekazuje nazwy plików w podwójnych cudzysłowach do exec() bez sanityzacji escapeshellarg(), co pozwala na wykonanie poleceń powłoki.
Oryginalny opis (angielski, źródło NVD)
FileRun before 2026.3.0 contains a PHP object injection vulnerability that allows authenticated attackers to execute arbitrary code by exploiting incorrect options passed to unserialize() in the Perms::getPerms() method, where a positional array is used instead of the required named-key array to disable class instantiation. Attackers with database write access can inject a serialized gadget chain into the permissions table columns processed on every authenticated page load to write arbitrary files, such as PHP webshells, to web-accessible paths.