CVE-2026-73680
Açıklama
Cockpit CMS 2.14.0 ve öncesi, FFmpeg entegrasyonunda, yalnızca assets/upload iznine sahip kimliği doğrulanmış kullanıcıların kabuk meta karakterleri içeren bir dosya adıyla video dosyası yükleyerek rastgele komutlar çalıştırmasına olanak tanıyan bir komut enjeksiyonu güvenlik açığı içerir. Temizlenmemiş dosya adı, slugify() temizleyicisi çalışmadan önce Process::fromShellCommandline() aracılığıyla yürütülen bir kabuk komutuna eklenir; bu da geri tırnaklar, $() ve noktalı virgüller gibi enjekte edilen kabuk meta karakterlerinin FFmpeg komut bağlamından kaçarak web sunucusu kullanıcısı olarak yürütülmesini sağlar.
Nasıl düzeltilir
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Cockpit HQ Cockpit CMS | v ≤ 2.14.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.