CVE-2026-14863: stato di sfruttamento e disponibilità della patch
CVE-2026-14863 · CVSS 8.8 HIGH · EPSS 2%
FileRun up to and including version 2026.2.0 contains an OS command injection vulnerability that allows authenticated attackers to achieve remote code execution by uploading a file with a malicious filename containing shell command substitution sequences. The thumbnail generation system passes filenames wrapped in shell double-quotes directly to exec() without escapeshellarg() sanitization, allowing filenames such as $(PAYLOAD).mp4 to survive the filename sanitizer and be evaluated as shell commands when ffmpeg, ImageMagick, vips, or stl-thumb processes the file during thumbnail generation.
CVE-2026-14863 viene sfruttato?
Non è nel catalogo CISA KEV.
EPSS stima la probabilità di sfruttamento nei prossimi 30 giorni al 2%.
Codice di exploit pubblico: nessuno trovato nelle fonti monitorate.
Quali prodotti e versioni sono interessati?
Nessun elenco di pacchetti interessati registrato qui.