CVE-2026-94106

WysokieCVSS 8.8

Opublikowano: 20/09/2026(UTC)Zaktualizowano: 22/09/2026(UTC)Przetłumaczono: 20/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Wysokie ryzyko

1.66%

Percentyl 76 - wyżej niż 76% wszystkich znanych CVE

Streszczenie

W getID3 przed wersją 1.9.26 występuje podatność wstrzyknięcia poleceń systemu operacyjnego w procedurach wywołujących powłokę, które nie escapują nazw plików w ciągach poleceń. Atakujący mogą tworzyć złośliwe nazwy plików zawierające metaznaki powłoki, aby wstrzyknąć dowolne polecenia wykonywane z uprawnieniami procesu osadzającego getID3.

Ocena ryzyka

Atakujący może wykonać dowolne polecenia systemowe z uprawnieniami aplikacji używającej getID3, co może prowadzić do przejęcia serwera lub wycieku danych. Wymaga dostarczenia pliku o złośliwej nazwie do przetworzenia.

Rekomendacja

Należy zaktualizować getID3 do wersji 1.9.26 lub nowszej oraz unikać przekazywania niezaufanych nazw plików do procedur wywołujących powłokę.

Inne podatności w getID3

CVE-2026-94108Średnie
getID3 do wersji 1.9.26 zawiera podatność na wstrzyknięcie zewnętrznych encji XML w funkcji pomocniczej XML2array, która nie wyłącza poprawnie ładowania encji w PHP przed wersją 8.0. Atakujący mogą stworzyć złośliwe metadane XML w plikach multimedialnych, aby ujawnić lokalne pliki, przeprowadzić atak SSRF lub spowodować odmowę usługi przez ekspansję encji.

Oryginalny opis (angielski, źródło NVD)

getID3 before 1.9.26 contains an OS command injection vulnerability in shell-out handlers that fail to escape filenames in command strings. Attackers can craft malicious filenames containing shell metacharacters to inject arbitrary commands executed with the privileges of the process embedding getID3.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS