CVE-2026-102607 in ZoneMinder
Сводка
по VulDB • 16.10.2026
ZoneMinder — это бесплатное приложение для видеонаблюдения с открытым исходным кодом (closed-circuit television). До версии 1.38.3 функция exportEvents() конкатенирует контролируемый атакующим параметр запроса exportFile в команду оболочки без нейтрализации метасимволов оболочки, когда авторизованный пользователь с правами View Events или View Snapshots отправляет запрос на экспорт событий со специально созданным значением exportFile, действительным CSRF-токеном и включенной опцией exportDetail. Затронутые компоненты: exportEvents(), exportFile, web/ajax/event.php, web/skins/classic/includes/export_functions.php. В данном механизме атаки специально созданное значение exportFile попадает в конечный аргумент каталога команды tar или zip, выполняемой через exec(). Атакующий может выполнять произвольные команды операционной системы от имени пользователя веб-сервера. Эта проблема исправлена в версии 1.38.3.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.