CVE-2026-73698

FileRun vor 2026.3.0 enthält eine SQL-Injection-Schwachstelle, die es delegierten oder einfachen Administratoren ermöglicht, beliebiges SQL auszuführen, indem sie den description-Parameter als Array übermitteln, wodurch die Methode getValuesString() in DB/DP.php rohe Array-Werte direkt in eine INSERT-Anweisung ohne Parametrisierung interpoliert. Da die zugrunde liegende PDO-Verbindung emulierte vorbereitete Anweisungen verwendet, die gestapelte Abfragen ermöglichen, können Angreifer die Tabelle df_users_permissions manipulieren, um ein delegiertes Administratorkonto auf Superuser-Berechtigungen hochzustufen, und möglicherweise zusätzlich eine Codeausführung über unsanitierte Pfadwerte erreichen, die in der Komponente zur Auflistung von Protokollen an require_once übergeben werden.