CVE-2026-102608

Nome do Software Vulnerável e Versões Afetadas ZoneMinder versões anteriores a 1.38.3

Description A função downloadEvents() não sanitiza adequadamente o valor do Nome do monitor, envolvendo-o manualmente em aspas simples em vez de usar escapeshellarg() antes de inseri-lo em comandos de shell. Isso ocorre quando um usuário com permissões de monitor-create ou monitor-edit armazena um Nome de monitor contendo metacaracteres de shell, e um usuário com permissão de Events View exporta esses eventos. O nome armazenado é enviado para o comando de concatenação ffmpeg e para o comando de arquivo tar ou zip, permitindo que um invasor escape das aspas e execute comandos arbitrários como o usuário do servidor web.

Recommendations Atualizar para a versão 1.38.3.