CVE-2026-73693

FileRun antérieur à la version 2026.3.0 contient une vulnérabilité d’injection de commandes OS dans le gestionnaire PhotoProofSheet, qui permet à des utilisateurs authentifiés disposant de l’autorisation de téléversement d’exécuter des commandes arbitraires en téléversant des fichiers dont les noms contiennent des métacaractères shell. Les attaquants peuvent téléverser un fichier dont le nom contient une syntaxe de substitution de commande telle que des backticks, des points-virgules ou des séquences $(), puis déclencher le endpoint PhotoProofSheet afin d’exécuter des commandes arbitraires avec les privilèges de l’utilisateur du serveur web, en raison de l’absence de l’assainissement par escapeshellarg() lors de la construction de la commande montage d’ImageMagick.