CVE-2026-102608 in ZoneMinder
Riassunto
di VulDB • 16/10/2026
ZoneMinder è un'applicazione software per la videosorveglianza a circuito chiuso (CCTV) gratuita e open source. Prima della versione 1.38.3, la funzione downloadEvents() avvolge manualmente il valore del campo Name di una telecamera tra apici singoli invece di utilizzare escapeshellarg() prima di inserirlo nei comandi shell quando un utente con autorizzazioni monitor-create o monitor-edit memorizza un nome di telecamera contenente metacaratteri shell e un utente con l'autorizzazione Events View esporta gli eventi di tale telecamera. In questo meccanismo d'attacco, il nome della telecamera memorizzato raggiunge sia il comando di concatenazione ffmpeg che i comandi per archivi tar o zip ed esce dalle virgolette manuali. Vengono eseguiti comandi arbitrari con l'utente del server web. Questo problema è risolto nella versione 1.38.3.
If you want to get best quality of vulnerability data, you may have to visit VulDB.