CVE-2026-102607
ZoneMinder: аутентифицированная инъекция команд ОС (RCE) через функцию экспорта
- Опубликовано
- 16 окт. 2026 г.
- Обновлено
- 19 окт. 2026 г.
- Назначение CNA
- GitHub_M
- Наблюдены доказательства
- 3 окт. 2026 г.
Первичный CVSS
cvelist · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HНизкий · следующие 30 дней
- Процентиль
- 37,5 %
- Дата модели
- 19 окт. 2026 г.
EPSS – это статистическая оценка, а не достоверность или мера воздействия. Объедините это с CVSS, статусом KEV, воздействием и вашей средой.
Резюме
ZoneMinder — это бесплатное программное обеспечение с открытым исходным кодом для систем замкнутого телевидения. До версии 1.38.3 функция exportEvents() конкатенирует контролируемый злоумышленником параметр запроса exportFile в команду оболочки, не нейтрализуя метасимволы оболочки, когда аутентифицированный пользователь с разрешением View Events или View Snapshots отправляет запрос на экспорт события с подготовленным значением exportFile, действительным CSRF-токеном и включённым exportDetail. Затронутые компоненты: exportEvents(), exportFile, web/ajax/event.php, web/skins/classic/includes/export_functions.php. В этом механизме атаки подготовленное значение exportFile достигает завершающего аргумента каталога команды tar или zip, выполняемой через exec(). Злоумышленник может выполнять произвольные команды операционной системы от имени пользователя веб-сервера. Эта проблема исправлена в версии 1.38.3.
Источники
Python PoC, эксплуатирующий CVE-2026-102607 — аутентифицированную инъекцию команд ОС в ZoneMinder <= 1.38.1 через exportEvents(), позволяющую выполнить RCE, эксфильтрацию вывода команд и получить reverse shell.
Ответственное использование
Используйте информацию об уязвимостях только в тех системах, которыми вы владеете или имеете право тестировать. Kitploit ссылается на метаданные общедоступных исследований и не хранит код эксплойта или вредоносные полезные данные.