CVE-2025-65791
CriticalSummary
ZoneMinder w wersji 1.36.34 jest podatny na atak typu Command Injection w pliku web/views/image.php. Aplikacja przekazuje niesanitowane dane wejściowe użytkownika bezpośrednio do funkcji exec().
Risk Assessment
Potencjalny atakujący może wykorzystać tę podatność do wykonania dowolnych poleceń systemowych, co może prowadzić do poważnych naruszeń bezpieczeństwa w systemie.
Recommendation
Zaleca się aktualizację do najnowszej wersji ZoneMinder oraz wprowadzenie odpowiednich filtrów sanitizujących dane wejściowe użytkowników.
Original NVD description (English source)
ZoneMinder v1.36.34 is vulnerable to Command Injection in web/views/image.php. The application passes unsanitized user input directly to the exec() function. NOTE: this is disputed by the Supplier because there is no unsanitized user input to web/views/image.php.