CVE-2023-26035
ZoneMinder vulnerabile a mancata autorizzazione
- Pubblicato
- 25 feb 2023
- Aggiornato
- 13 feb 2025
- Assegnazione CNA
- GitHub_M
- Evidenza osservata
- 8 ago 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HAlto · prossimi 30 giorni
- Percentile
- 99,6%
- Data del modello
- 21 set 2026
L'EPSS è una stima statistica, non una certezza o una misura di impatto. Combinalo con CVSS, stato KEV, esposizione e ambiente.
Riepilogo
ZoneMinder è un'applicazione software gratuita e open source per la videosorveglianza a circuito chiuso per Linux, che supporta telecamere IP, USB e analogiche. Le versioni precedenti alla 1.36.33 e alla 1.37.33 sono vulnerabili all'esecuzione di codice remoto non autenticata tramite autorizzazione mancante. Non ci sono controlli dei permessi sull'azione snapshot, che prevede un id per recuperare un monitor esistente ma a cui può essere passato un oggetto per crearne uno nuovo. TriggerOn finisce per chiamare shell_exec utilizzando l'Id fornito. Questo problema è risolto in Questo problema è risolto nelle versioni 1.36.33 e 1.37.33.
Fonti
4- zoneminder_CVE-2023-26035Exploit
Exploit per CVE-2023-26035 che colpisce ZoneMinder < 1.36.33 e < 1.37.33
- zoneminder-snapshots-rce-pocExploit
Questo è uno script scritto in Python che consente lo sfruttamento della falla di sicurezza di Zoneminder descritta in CVE-2023-26035.
Utilizzo responsabile
Utilizza le informazioni sulla vulnerabilità solo sui sistemi che possiedi o che sei autorizzato a testare. Kitploit si collega ai metadati della ricerca pubblica e non memorizza codici exploit o payload dannosi.