CVE-2026-73699

FileRun avant la version 2026.3.0 contient une vulnérabilité d’injection d’objets PHP qui permet à des attaquants authentifiés d’exécuter du code arbitraire en exploitant des options incorrectes passées à unserialize() dans la méthode Perms::getPerms(), où un tableau positionnel est utilisé au lieu du tableau à clés nommées requis pour désactiver l’instanciation de classes. Les attaquants disposant d’un accès en écriture à la base de données peuvent injecter une chaîne de gadgets sérialisée dans les colonnes de la table des permissions traitées lors de chaque chargement de page authentifié afin d’écrire des fichiers arbitraires, tels que des webshells PHP, dans des chemins accessibles via le Web.