CVE-2026-73699

FileRun vor 2026.3.0 enthält eine PHP-Objektinjektionsschwachstelle, die es authentifizierten Angreifern ermöglicht, beliebigen Code auszuführen, indem sie die inkorrekt an unserialize() übergebenen Optionen in der Methode Perms::getPerms() ausnutzen, bei der ein Positionsarray anstelle des erforderlichen Arrays mit benannten Schlüsseln verwendet wird, um die Instanziierung von Klassen zu deaktivieren. Angreifer mit Schreibzugriff auf die Datenbank können eine serialisierte Gadget-Kette in die Spalten der Berechtigungstabelle einschleusen, die bei jedem Laden einer authentifizierten Seite verarbeitet werden, um beliebige Dateien, beispielsweise PHP-Webshells, in Pfade zu schreiben, auf die über das Web zugegriffen werden kann.