CVE-2026-73698

FileRun anterior a 2026.3.0 contiene una vulnerabilidad de inyección SQL que permite a los administradores delegados o simples ejecutar SQL arbitrario al enviar el parámetro description como una matriz, lo que hace que el método getValuesString() en DB/DP.php interpole valores de matriz sin procesar directamente en una sentencia INSERT sin parametrización. Debido a que la conexión PDO subyacente utiliza sentencias preparadas emuladas que permiten consultas apiladas, los atacantes pueden manipular la tabla df_users_permissions para escalar una cuenta de administrador delegado a privilegios de superusuario y, además, pueden lograr la ejecución de código mediante valores de ruta no saneados pasados a require_once en el componente de listado de registros.