CVE-2026-102607
ZoneMinder: Inyección de comandos del sistema operativo autenticada (RCE) mediante la función de exportación
- Publicado
- 16 oct 2026
- Actualizado
- 19 oct 2026
- Asignación de CNA
- GitHub_M
- Evidencia observada
- 3 oct 2026
CVSS primario
cvelist · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HBajo · próximos 30 días
- Percentil
- 37,4 %
- Fecha del modelo
- 17 oct 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
ZoneMinder es una aplicación de software de circuito cerrado de televisión gratuita y de código abierto. Antes de la versión 1.38.3, la función exportEvents() concatena el parámetro de solicitud exportFile controlado por el atacante en un comando de shell sin neutralizar los metacaracteres de shell cuando un usuario autenticado con permiso View Events o View Snapshots envía una solicitud de exportación de eventos con un valor exportFile manipulado, un token CSRF válido y exportDetail habilitado. Los componentes afectados son exportEvents(), exportFile, web/ajax/event.php, web/skins/classic/includes/export_functions.php. En este mecanismo de ataque, el valor exportFile manipulado llega al argumento de directorio final de un comando tar o zip ejecutado por exec(). El atacante puede ejecutar comandos arbitrarios del sistema operativo como el usuario del servidor web. Este problema se corrige en la versión 1.38.3.
Fuentes
PoC en Python que explota CVE-2026-102607, una inyección de comandos del sistema operativo autenticada en ZoneMinder <= 1.38.1 exportEvents() que permite RCE, exfiltración de la salida de comandos y reverse shells.
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.