CVE-2026-73693

FileRun anterior a 2026.3.0 contiene una vulnerabilidad de inyección de comandos del sistema operativo en el controlador PhotoProofSheet que permite a usuarios autenticados con permiso de carga ejecutar comandos arbitrarios mediante la carga de archivos con metacaracteres del shell en sus nombres. Los atacantes pueden cargar un archivo que contenga sintaxis de sustitución de comandos, como comillas invertidas, puntos y comas o secuencias $(), en el nombre de archivo y, a continuación, activar el endpoint PhotoProofSheet para ejecutar comandos arbitrarios como el usuario del servidor web debido a la falta de sanitización mediante escapeshellarg() en la construcción del comando montage de ImageMagick.