CVE-2026-102608

اسم البرنامج المصاب والإصدارات المتأثرة ZoneMinder الإصدارات السابقة لـ 1.38.3

Description تفشل الدالة downloadEvents() في تعقيم قيمة اسم المراقبة بشكل صحيح من خلال تغليفها يدويًا بعلامات اقتباس مفردة بدلاً من استخدام escapeshellarg() قبل وضعها في أوامر shell. يحدث هذا عندما يقوم مستخدم لديه صلاحيات monitor-create أو monitor-edit بتخزين اسم مراقبة يحتوي على أحرف shell خاصة، ثم يقوم مستخدم لديه صلاحية Events View بتصدير أحداث تلك المراقبة. يتم تمرير الاسم المخزن إلى أمر دمج ffmpeg وأمر أرشيف tar أو zip، مما يسمح للمهاجم بالخروج من علامات الاقتباس وتنفيذ أوامر عشوائية بصلاحيات مستخدم خادم الويب.

Recommendations التحديث إلى الإصدار 1.38.3.