CVE-2026-72556

Nome do Software Vulnerável e Versões Afetadas ZoneMinder versão 1.39.17

Description Um usuário autenticado pode executar comandos do sistema operacional devido a uma falha na verificação de permissões dentro da classe Filter. As funções canEdit() e canDelete() chamam métodos inexistentes na classe ZMUser, o que aciona o método mágico call() do PHP. Isso resulta em um valor de retorno verdadeiro que ignora as verificações de permissão para todos os usuários, permitindo que qualquer usuário autenticado execute comandos do SO baseados em filtros, independentemente de sua função atribuída.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.