CVE-2026-102607
ZoneMinder: Command Injection OS autenticato (RCE) tramite la funzione di esportazione
- Pubblicato
- 16 ott 2026
- Aggiornato
- 19 ott 2026
- Assegnazione CNA
- GitHub_M
- Evidenza osservata
- 3 ott 2026
CVSS primario
cvelist · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HBasso · prossimi 30 giorni
- Percentile
- 37,4%
- Data del modello
- 17 ott 2026
L'EPSS è una stima statistica, non una certezza o una misura di impatto. Combinalo con CVSS, stato KEV, esposizione e ambiente.
Riepilogo
ZoneMinder è un'applicazione software di videosorveglianza a circuito chiuso gratuita e open source. Prima della versione 1.38.3, la funzione exportEvents() concatena il parametro di richiesta exportFile controllato dall'attaccante in un comando shell senza neutralizzare i metacaratteri della shell quando un utente autenticato con i permessi View Events o View Snapshots invia una richiesta di esportazione di eventi con un valore exportFile appositamente creato, un token CSRF valido e exportDetail abilitato. I componenti interessati sono exportEvents(), exportFile, web/ajax/event.php, web/skins/classic/includes/export_functions.php. In questo meccanismo di attacco, il valore exportFile appositamente creato raggiunge l'argomento della directory finale di un comando tar o zip eseguito da exec(). L'attaccante può eseguire comandi arbitrari del sistema operativo come utente del server web. Questo problema è risolto nella versione 1.38.3.
Fonti
PoC Python che sfrutta CVE-2026-102607, un'iniezione di comandi OS autenticata in ZoneMinder <= 1.38.1 exportEvents() che consente RCE, esfiltrazione dell'output dei comandi e reverse shell.
Utilizzo responsabile
Utilizza le informazioni sulla vulnerabilità solo sui sistemi che possiedi o che sei autorizzato a testare. Kitploit si collega ai metadati della ricerca pubblica e non memorizza codici exploit o payload dannosi.