CVE-2026-102607 in ZoneMinder
Zusammenfassung
von VulDB • 16.10.2026
ZoneMinder ist eine kostenlose Open-Source-Anwendung für Closed-Circuit Television (CCTV). Vor Version 1.38.3 verknüpft die Funktion exportEvents() den vom Angreifer kontrollierten Anforderungsparameter exportFile in einen Shell-Befehl, ohne Shell-Metazeichen zu neutralisieren, wenn ein authentifizierter Benutzer mit der Berechtigung „Ereignisse anzeigen“ oder „Snapshots anzeigen“ eine Ereignisexportanfrage mit einem gefälschten Wert für exportFile, einem gültigen CSRF-Token und aktiviertem exportDetail sendet. Die betroffenen Komponenten sind exportEvents(), exportFile, web/ajax/event.php sowie web/skins/classic/includes/export_functions.php. Bei diesem Angriffsmechanismus erreicht der gefälschte Wert von exportFile das nachgestellte Verzeichnisargument eines tar- oder zip-Befehls, der durch exec() ausgeführt wird. Der Angreifer kann beliebige Betriebssystembefehle als Benutzer des Webservers ausführen. Dieses Problem wurde in Version 1.38.3 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.