CVE-2026-14863
Açıklama
FileRun'ın 2026.2.0 sürümü ve öncesindeki sürümler, kimliği doğrulanmış saldırganların kabuk komutu değiştirme dizileri içeren kötü amaçlı bir dosya adı ile dosya yükleyerek uzaktan kod çalıştırmasına olanak tanıyan bir OS komut enjeksiyonu zafiyeti içermektedir. Küçük resim oluşturma sistemi, kabuk çift tırnakları içine alınmış dosya adlarını escapeshellarg() temizlemesi yapmadan doğrudan exec() fonksiyonuna aktarmaktadır; bu durum, $(PAYLOAD).mp4 gibi dosya adlarının dosya adı temizleyiciyi geçmesine ve küçük resim oluşturma sırasında ffmpeg, ImageMagick, vips veya stl-thumb tarafından işlenirken kabuk komutları olarak değerlendirilmesine neden olmaktadır.
Nasıl düzeltilir
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| FileRun FileRun | v ≤ 2026.2.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.