Analog Way 的 Picturall Quad Compact Mark II 服务器，版本 3.5.8，存在一个严重漏洞。该本地提权缺陷被追踪为 CVE-2026-14985。该漏洞源于名为 create_local_installer.sh 的维护脚本中的缺陷，具体原因为权限委托不当及输入验证不足。默认权限允许低权限用户无需密码即以 root 身份执行 create_local_installer.sh。攻击者可构造包含特殊格式文件的恶意磁盘镜像。该文件 picturall-version.txt 利用目录遍历字符串欺骗脚本。脚本未能正确清理来自攻击者提供文件的输入。因此，攻击者可向系统任意位置写入文件。这允许向敏感目录（如 /etc/cron.d）进行任意文件写入。最终，这使得攻击者能够以完整的 root 权限执行任意代码。Analog Way 已发布版本 3.5.9 以修复此安全问题。用户应立即更新以保护其系统。