Сервер Analog Way Picturall Quad Compact Mark II, версия 3.5.8, имеет критическую уязвимость. Эта локальная уязвимость повышения привилегий отслеживается как CVE-2026-14985. Уязвимость вызвана ошибками в скрипте обслуживания под названием create_local_installer.sh. В частности, неправильная делегация привилегий и недостаточная проверка входных данных являются основными причинами. Стандартные разрешения позволяют пользователю с низкими привилегиями выполнять create_local_installer.sh от имени root без пароля. Злоумышленник может создать вредоносный образ диска, содержащий специально отформатированный файл. Этот файл, picturall-version.txt, использует строки обхода каталогов, чтобы обмануть скрипт. Скрипт не может должным образом очистить входные данные из этого файла, предоставленного злоумышленником. Следовательно, злоумышленник может записывать файлы в любое место в системе. Это позволяет произвольно записывать файлы в чувствительные каталоги, такие как /etc/cron.d. В конечном итоге это позволяет выполнять произвольный код с полными привилегиями root. Analog Way выпустила версию 3.5.9 для устранения этой проблемы безопасности. Пользователям следует немедленно обновиться, чтобы защитить свои системы.