CVE-2026-94106
CVE-2026-94106 · getID3 before 1.9.26 OS Command Injection via Unescaped Filenames
Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.
getID3 before 1.9.26 contains an OS command injection vulnerability in shell-out handlers that fail to escape filenames in command strings. Attackers can craft malicious filenames containing shell metacharacters to inject arbitrary commands executed with the privileges of the process embedding getID3.
CVSS 8.7 · Hoch · EPSS 1,7% · Korrektur verfügbar
- Veröffentlicht
- Aktualisiert
Technologie-Stack: system
Betroffene Produkte und Versionen
getid3
- Softwareversionen
- ≥ 0, < 1.9.26: Betroffen (semver)
- 1.9.26: Nicht betroffen (semver)
Auf 1.9.26 aktualisieren
php-getid3 Debian:12
- Softwareversionen
- 1.9.22+dfsg-1
- 1.9.23+dfsg-1
- 1.9.24+dfsg-1
- 1.9.25+dfsg-1
- 1.9.26+dfsg-1
- 1.9.27+dfsg-1
- 2.0.0~beta1+dfsg-1
- 2.0.0~beta2-1
- 2.0.0~beta3-1
- 2.0.0~beta4+dfsg-1
- 2.0.0~beta5+dfsg-1
- 2.0.0~beta6+dfsg-1
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht
php-getid3 Debian:13
- Softwareversionen
- 1.9.23+dfsg-1
- 1.9.24+dfsg-1
- 1.9.25+dfsg-1
- 1.9.26+dfsg-1
- 1.9.27+dfsg-1
- 2.0.0~beta1+dfsg-1
- 2.0.0~beta2-1
- 2.0.0~beta3-1
- 2.0.0~beta4+dfsg-1
- 2.0.0~beta5+dfsg-1
- 2.0.0~beta6+dfsg-1
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht
php-getid3 Debian:14
- Softwareversionen
- 1.9.23+dfsg-1
- 1.9.24+dfsg-1
- 1.9.25+dfsg-1
- Betroffene Versionsbereiche
- ECOSYSTEM: < 1.9.26+dfsg-1
Auf 1.9.26+dfsg-1 aktualisieren
php-getid3 Ubuntu:16.04:LTS
- Softwareversionen
- 1.9.9+dfsg-2
- 1.9.10+dfsg-1
- 1.9.11+dfsg-1
- 1.9.11+dfsg-1build1
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht
php-getid3 Ubuntu:18.04:LTS
- Softwareversionen
- 1.9.14+dfsg-1
- 1.9.15+dfsg-1
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht
php-getid3 Ubuntu:20.04:LTS
- Softwareversionen
- 1.9.17+dfsg-1
- 1.9.18+dfsg-1
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht
php-getid3 Ubuntu:22.04:LTS
- Softwareversionen
- 1.9.20+dfsg-1
- 1.9.21+dfsg-1
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht
php-getid3 Ubuntu:24.04:LTS
- Softwareversionen
- 1.9.22+dfsg-1
- 1.9.23+dfsg-1
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht
php-getid3 Ubuntu:26.10
- Softwareversionen
- 1.9.24+dfsg-1
- 1.9.25+dfsg-1
- 1.9.27+dfsg-1
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht
php-getid3 Ubuntu:26.04:LTS
- Softwareversionen
- 1.9.23+dfsg-1
- 1.9.24+dfsg-1
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht
Originalquellen
- https://github.com/JamesHeinrich/getID3/security/advisories/GHSA-qf3m-pmjh-h6fx
- https://github.com/JamesHeinrich/getID3/issues/503
- https://github.com/JamesHeinrich/getID3/commit/ce598c4f3823441d878c5a7a2a9f2f703a3e10b6
- https://github.com/JamesHeinrich/getID3/commit/2c6f3f96546f05746405872848114754ed7fe9b4
- https://github.com/JamesHeinrich/getID3/releases/tag/v1.9.26
- https://github.com/JamesHeinrich/getID3/blob/fefffe762b02be155dcc32eec57feff8a49bc4b5/getid3/write.vorbiscomment.php#L85-L110
- https://github.com/JamesHeinrich/getID3
- https://www.vulncheck.com/advisories/getid3-before-1.9.26-os-command-injection-via-unescaped-filenames
- https://nvd.nist.gov/vuln/detail/CVE-2026-94106