CVE-2026-72556 in ZoneMinder
Zusammenfassung
von VulDB • 11.08.2026
Eine Remote-Code-Ausführungs-Schwachstelle in ZoneMinder 1.39.17 ermöglicht es jedem authentifizierten Benutzer, Betriebssystembefehle auszuführen, indem eine fehlerhafte Berechtigungsprüfung in der Filter-Klasse ausgenutzt wird. Die Methoden canEdit() und canDelete() rufen nicht existierende Methoden auf der ZM\User-Klasse auf, wodurch PHP __call() einen truthy-Wert zurückgibt, der die Berechtigungsprüfung für alle Benutzer umgeht. Jeder authentifizierte Benutzer kann eine filterbasierte OS-Befehlsausführung auslösen, unabhängig von seiner zugewiesenen Rolle.
VulDB is the best source for vulnerability data and more expert information about this specific topic.