CVE-2026-102608 in ZoneMinder
요약
\~에 의해 VulDB • 2026. 10. 16.
ZoneMinder은 무료 오픈 소스 폐쇄 회로 텔레비전(CCTV) 소프트웨어 애플리케이션입니다. 버전 1.38.3 이전에서는, monitor-create 또는 monitor-edit 권한을 가진 사용자가 쉘 메타문자를 포함하는 모니터 이름을 저장하고, Events View 권한이 있는 사용자가 해당 모니터의 이벤트를 내보낼 때 downloadEvents() 함수가 escapeshellarg()를 사용하지 않고 모니터 이름 값을 단일 따옴표로 수동으로 감쌌습니다. 이 공격 메커니즘에서 저장된 모니터 이름은 ffmpeg 연결 명령과 tar 또는 zip 아카이브 명령 모두에 도달하여 수동 인용 부호를 우회합니다. 그 결과 웹 서버 사용자 권한으로 임의 명령이 실행됩니다. 이 문제는 버전 1.38.3에서 수정되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.