CVE-2026-73698
Açıklama
2026.3.0 öncesindeki FileRun, delegasyon verilmiş veya basit yöneticilerin description parametresini bir dizi olarak göndererek rastgele SQL komutları yürütmesine olanak tanıyan bir SQL injection zafiyeti içermektedir; bu durum, DB/DP.php dosyasındaki getValuesString() metodunun ham dizi değerlerini parametreleştirme yapmadan doğrudan bir INSERT ifadesine yerleştirmesinden kaynaklanmaktadır. Alttaki PDO bağlantısının yığınlanmış sorguları etkinleştiren emüle edilmiş hazırlanmış ifadeler kullanması nedeniyle saldırganlar, delegasyon verilmiş bir yönetici hesabını süper kullanıcı yetkilerine yükseltmek için df_users_permissions tablosunu manipüle edebilir ve ek olarak günlük listeleme bileşenindeki require_once fonksiyonuna iletilen temizlenmemiş yol değerleri aracılığıyla kod çalıştırma sağlayabilirler.
Nasıl düzeltilir
- FileRun FileRun2026.3.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| FileRun FileRun | v < 2026.3.0 | 2026.3.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.