В функции экспорта событий ZoneMinder существует уязвимость, связанная с внедрением проверенных команд ОС. Параметр HTTP-запроса ExportFile передается в необработанном виде в команду оболочки, выполняемую с помощью PHP exec(), что позволяет любому аутентифицированному пользователю с разрешением на просмотр событий выполнять произвольные команды операционной системы на сервере.
Показать оригинальное описание (EN)
An authenticated OS command injection vulnerability exists in ZoneMinder's event export functionality. The exportFile HTTP request parameter is passed unsanitized into a shell command executed via PHP's exec(), allowing any authenticated user with View Events permission to execute arbitrary operating system commands on the server.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Не требуются
Нет дополнительных условий
Нужны права
Низкие
Нужны базовые права
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Высокое
Полная утечка данных
Целостность
Высокое
Полная модификация данных
Доступность
Высокое
Полный отказ в обслуживании
Строка CVSS v4.0
Тип уязвимости (CWE)
Ссылки 5
https://github.com/ZoneMinder/zoneminder
ics-cert@hq.dhs.gov
https://github.com/ZoneMinder/zoneminder/security/advisories/GHSA-88m4-hrgp-m9v3
ics-cert@hq.dhs.gov
https://github.com/cisagov/CSAF/blob/develop/csaf_files/OT/white/2026/icsa-26-2…
ics-cert@hq.dhs.gov
https://www.cisa.gov/news-events/ics-advisories/icsa-26-237-02
ics-cert@hq.dhs.gov
https://zoneminder.com/downloads
ics-cert@hq.dhs.gov