CVE-2026-102608 in ZoneMinder
Sumário
de VulDB • 16/10/2026
O ZoneMinder é um aplicativo de software livre e open source para televisão em circuito fechado (CCTV). Antes da versão 1.38.3, a função downloadEvents() envolvia manualmente o valor do nome do monitor com aspas simples em vez de usar escapeshellarg() antes de inseri-lo em comandos shell quando um usuário com permissão de monitor-create ou monitor-edit armazenava um nome de monitor contendo metacaracteres de shell e outro usuário com permissão Events View exportava os eventos desse monitor. Nesse mecanismo de ataque, o nome do monitor armazenado alcança tanto o comando de concatenação ffmpeg quanto o comando de arquivo tar ou zip, escapando das aspas manuais. Comandos arbitrários são executados como o usuário do servidor web. Este problema foi corrigido na versão 1.38.3.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.