ZoneMinder

Tradução automática do conteúdo disponibilizado no feed de CISA. Original: https://www.cisa.gov/news-events/ics-advisories/icsa-26-237-02

Ver resumo CSAF
A exploração bem-sucedida desta vulnerabilidade pode resultar em execução remota completa de código (RCE) como o usuário do servidor web. As versões afetadas são ZoneMinder 1.37.48|1.38.3. Existe uma vulnerabilidade autenticada de injeção de comandos OS na funcionalidade de exportação de eventos do ZoneMinder. O parâmetro de requisição HTTP exportFile é passado sem sanitização para um comando shell executado por PHP exec(), permitindo que qualquer usuário autenticado com permissão View Events execute comandos arbitrários do sistema operacional no servidor. CVE-2026-76060. Recomenda-se atualizar para a versão 1.38.3 ou posterior: https://zoneminder.com/downloads. Código-fonte: https://github.com/ZoneMinder/zoneminder. Aviso: https://github.com/ZoneMinder/zoneminder/security/advisories/GHSA-88m4-hrgp-m9v3. CWE-78. CVSS 3.1: 8.8 HIGH. A CISA descobriu uma prova de conceito pública, de autoria de Scriptkittens, e a reportou ao ZoneMinder. Não houve relato à CISA de exploração pública conhecida especificamente direcionada a esta vulnerabilidade até o momento.