OS Command Injection in Cockpit CMS (CVE-2026-73680)
Summary
OS command injection in Cockpit CMS (CVE-2026-73680). Successful exploitation can lead to full system takeover.
Original description
The description as published by the source.
Cockpit CMS 2.14.0 and prior contains a command injection vulnerability in the FFmpeg integration that allows authenticated users with only the assets/upload permission to execute arbitrary commands by uploading a video file with a shell metacharacter-laden filename. The unsanitized filename is interpolated into a shell command executed via Process::fromShellCommandline() before the slugify() sanitizer runs, enabling injected shell metacharacters such as backticks, $(), and semicolons to escape the FFmpeg command context and execute as the web-server user.
Source: NIST National Vulnerability Database NVD GitHub Advisory
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
Cockpit CMSのバージョン2.14.0およびそれ以前に、FFmpeg統合におけるコマンドインジェクションの脆弱性があります。この脆弱性により、認証されたユーザーが資産/アップロード権限のみで任意のコマンドを実行できます。これにより、任意のシェルメタキャラクターが使用されたファイル名を持つビデオファイルをアップロードすることで、悪意のあるコマンド実行が可能です。
Cockpit CMSにおけるFFmpeg統合でのコマンドインジェクション脆弱性です。
Cockpit CMS バージョン2.14.0およびそれ以前。
認証されたユーザーが任意のコマンドを実行できるため、高度に危険です。
ユーザーからの入力を適切にサニタイズするか、脆弱性が修正された新しいバージョンへアップデートしてください。
情報なし
Cockpit CMSのバージョンを確認し、脆弱性があるかどうかを判断します。