Analog Way의 Picturall Quad Compact Mark II 서버, 버전 3.5.8에 치명적인 취약점이 존재합니다. 이 로컬 권한 상승 취약점은 CVE-2026-14985로 추적됩니다. 이 취약점은 create_local_installer.sh라는 유지보수 스크립트의 결함에서 비롯됩니다. 구체적으로, 부적절한 권한 위임과 불충분한 입력 유효성 검사가 근본 원인입니다. 기본 권한은 낮은 권한을 가진 사용자가 암호 없이도 root로 create_local_installer.sh를 실행할 수 있도록 허용합니다. 공격자는 특수하게 형식화된 파일을 포함하는 악성 디스크 이미지를 만들 수 있습니다. 이 파일인 picturall-version.txt는 디렉토리 탐색 문자열을 사용하여 스크립트를 속입니다. 스크립트는 이 공격자가 제공한 파일의 입력을 제대로 검증하지 못합니다. 결과적으로 공격자는 시스템의 모든 위치에 파일을 쓸 수 있습니다. 이를 통해 /etc/cron.d와 같은 민감한 디렉토리에 임의의 파일 쓰기가 가능해집니다. 궁극적으로 이는 완전한 root 권한으로 임의의 코드를 실행할 수 있게 합니다. Analog Way는 이 보안 문제를 해결하기 위해 버전 3.5.9를 출시했습니다. 사용자는 시스템을 보호하기 위해 즉시 업데이트해야 합니다.