Vulnerabilidades do Zelon88 HRConvert2

HRConvert2 é um servidor de conversão de arquivos e ferramenta de compartilhamento self-hosted, com arrastar e soltar e NoSQL. Antes da versão 3.3.8, a função sanitizeString() em convertCore.php não inclui a crase (`) e a tabulação (\t) em sua lista de remoção. A entrada do usuário então chega a shell_exec(), onde o shell interpreta esses caracteres e comandos dentro de nomes de arquivos são executados. Esta vulnerabilidade é corrigida na 3.3.8.