CVE-2026-73694

FileRun antérieur à la version 2026.3.0 contient une vulnérabilité d’injection de commandes OS causée par une redéfinition sans effet de escapeshellcmd() dans CLI.php qui supprime l’échappement des métacaractères shell, permettant à des entrées contrôlées par un attaquant d’atteindre un point d’exécution exec() sans être assainies. Les attaquants peuvent exploiter cette vulnérabilité via un chemin interactif passant par image_preview.php avec un paramètre args spécialement conçu nécessitant une authentification de superutilisateur, ou via un chemin persistant en stockant des charges utiles malveillantes dans thumbnails_ffmpeg_args ou thumbnails_ffmpeg_ss, qui s’exécutent lorsqu’un utilisateur déclenche la génération de miniatures vidéo.