CVE-2026-73680

Nome do Software Vulnerável e Versões Afetadas Cockpit CMS versões anteriores a 2.14.1

Descrição Um problema na integração com o FFmpeg permite que usuários autenticados com a permissão assets/upload executem comandos arbitrários. Isso ocorre quando um arquivo de vídeo é enviado com um nome de arquivo contendo metacaracteres de shell, como crases, $() ou pontos e vírgulas. O nome do arquivo não sanitizado é processado pela função Process::fromShellCommandline() antes que o sanitizador slugify() seja aplicado, permitindo que os metacaracteres escapem do contexto do comando FFmpeg e executem comandos como o usuário do servidor web.

Recomendações Atualize para uma versão posterior à 2.14.0. Restrinja o uso da permissão assets/upload para usuários não confiáveis até que o sistema seja atualizado.