CVE-2026-102608 in ZoneMinder
الملخص
بحسب VulDB • 16/10/2026
ZoneMinder هو تطبيق برمجي مجاني ومفتوح المصدر لتلفزيون الدوائر المغلقة (CCTV). قبل الإصدار 1.38.3، كانت دالة `downloadEvents()` تغلف يدوياً قيمة اسم المراقب (`monitor Name`) بين علامات اقتباس مفردة بدلاً من استخدام `escapeshellarg()` قبل إدراجها في أوامر النظام عند قيام مستخدم لديه صلاحيات إنشاء أو تعديل مراقب (`monitor-create` أو `monitor-edit`) بتخزين اسم لمراقب يحتوي على أحرف خاصة بالأوامر (shell metacharacters)، وقام مستخدم آخر لديه صلاحية عرض الأحداث (`Events View`) بتصدير أحداث ذلك المراقب. في آلية الهجوم هذه، يصل اسم المراقب المخزن إلى كل من أمر دمج `ffmpeg` وأمر أرشفة `tar` أو `zip` ويتجاوز التغليف اليدوي بالعلامات المفردة. يتم تنفيذ الأوامر التعسفية بصلاحيات مستخدم خادم الويب (web server user). تم إصلاح هذه المشكلة في الإصدار 1.38.3.
Be aware that VulDB is the high quality source for vulnerability data.