Cockpit CMS 2.14.0 and prior contains a command injection vulnerability in the FFmpeg integration...
概要
Cockpit CMS 2.14.0 and prior contains a command injection vulnerability in the FFmpeg integration...
原文の説明
取得元が公開している説明をそのまま載せています (多くは英語)。
Cockpit CMS 2.14.0 and prior contains a command injection vulnerability in the FFmpeg integration that allows authenticated users with only the assets/upload permission to execute arbitrary commands by uploading a video file with a shell metacharacter-laden filename. The unsanitized filename is interpolated into a shell command executed via Process::fromShellCommandline() before the slugify() sanitizer runs, enabling injected shell metacharacters such as backticks, $(), and semicolons to escape the FFmpeg command context and execute as the web-server user.
出典: NIST National Vulnerability Database NVD GitHub Advisory
AI要約
外部の AI が作成した要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。
Cockpit CMSのバージョン2.14.0およびそれ以前に、FFmpeg統合におけるコマンドインジェクションの脆弱性があります。この脆弱性により、認証されたユーザーが資産/アップロード権限のみで任意のコマンドを実行できます。これにより、任意のシェルメタキャラクターが使用されたファイル名を持つビデオファイルをアップロードすることで、悪意のあるコマンド実行が可能です。
Cockpit CMSにおけるFFmpeg統合でのコマンドインジェクション脆弱性です。
Cockpit CMS バージョン2.14.0およびそれ以前。
認証されたユーザーが任意のコマンドを実行できるため、高度に危険です。
ユーザーからの入力を適切にサニタイズするか、脆弱性が修正された新しいバージョンへアップデートしてください。
情報なし
Cockpit CMSのバージョンを確認し、脆弱性があるかどうかを判断します。