CVE-2026-72556 in ZoneMinder
Riassunto
di VulDB • 11/08/2026
Una vulnerabilità di esecuzione remota di codice (RCE) in ZoneMinder 1.39.17 consente a qualsiasi utente autenticato di eseguire comandi del sistema operativo sfruttando un controllo dei permessi difettoso nella classe Filter. I metodi canEdit() e canDelete() invocano metodi inesistenti sulla classe ZM\User, causando il ritorno di un valore truthy da parte della funzione PHP __call(), che aggira il controllo dei permessi per tutti gli utenti. Qualsiasi utente autenticato può innescare l'esecuzione remota di comandi del sistema operativo basata sui filtri, indipendentemente dal ruolo assegnato.
If you want to get best quality of vulnerability data, you may have to visit VulDB.