CVE-2022-39285
Vulnerabilidad de Cross-Site Scripting Almacenado en el parámetro File en ZoneMinder
- Publicado
- 7 oct 2022
- Actualizado
- 22 abr 2025
- Asignación de CNA
- GitHub_M
- Evidencia observada
- 27 mar 2023
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:L/I:H/A:HBajo · próximos 30 días
- Percentil
- 90,2 %
- Fecha del modelo
- 21 sept 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
ZoneMinder es una aplicación de software de televisión en circuito cerrado gratuita y de código abierto El parámetro de archivo es susceptible a una vulnerabilidad de tipo cross site scripting (XSS) al retroceder los corchetes "tr" "td" actuales. Esto permite entonces a un usuario malicioso proporcionar código que será ejecutado cuando un usuario visualice el registro específico en la página "view=log". Esta vulnerabilidad permite a un atacante almacenar código dentro de los registros que será ejecutado cuando sea cargado por un usuario legítimo. Estas acciones serán llevadas a cabo con el permiso de la víctima. Esto podría conllevar a una pérdida de datos y/o una explotación posterior, incluyendo la toma de control de la cuenta. Este problema ha sido abordado en versiones "1.36.27" y "1.37.24". Es recomendado a usuarios actualizar. Los usuarios que no puedan actualizarse deberán deshabilitar el registro de la base de datos
Fuentes
1Trenches of IT · php · 27 mar 2023
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.