CVE-2026-73693

FileRun vor 2026.3.0 enthält eine OS-Befehlseinschleusungsschwachstelle im PhotoProofSheet-Handler, die es authentifizierten Benutzern mit Upload-Berechtigung ermöglicht, beliebige Befehle auszuführen, indem sie Dateien mit Shell-Metazeichen in ihren Namen hochladen. Angreifer können eine Datei hochladen, deren Dateiname eine Befehlssubstitutionssyntax wie Backticks, Semikolons oder $()-Sequenzen enthält, und anschließend den PhotoProofSheet-Endpunkt auslösen, um aufgrund der fehlenden escapeshellarg()-Sanitization bei der Erstellung des ImageMagick-montage-Befehls beliebige Befehle als Webserver-Benutzer auszuführen.