CVE-2025-65791
KrytyczneStreszczenie
ZoneMinder w wersji 1.36.34 jest podatny na atak typu Command Injection w pliku web/views/image.php. Aplikacja przekazuje niesanitowane dane wejściowe użytkownika bezpośrednio do funkcji exec().
Ocena ryzyka
Potencjalny atakujący może wykorzystać tę podatność do wykonania dowolnych poleceń systemowych, co może prowadzić do poważnych naruszeń bezpieczeństwa w systemie.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji ZoneMinder oraz wprowadzenie odpowiednich filtrów sanitizujących dane wejściowe użytkowników.
Powiązane podatności
- CVE-2026-93945Krytyczne
Podatność deserializacji niezaufanych danych w motywie Balance firmy Axiomthemes pozwala na wstrzyknięcie obiektów. Problem dotyczy wersji od n/a do 1.12.0.
- CVE-2026-93944Krytyczne
Podatność deserializacji niezaufanych danych w motywie Camelia firmy ThemeREX Group pozwala na wstrzyknięcie obiektów. Problem dotyczy wersji od n/a do 1.2.15.
- CVE-2026-93943Krytyczne
Podatność deserializacji niezaufanych danych w motywie Convex firmy ThemeREX Group pozwala na wstrzyknięcie obiektów. Problem dotyczy wersji od n/a do 1.16.0.
- CVE-2026-93942Krytyczne
Podatność deserializacji niezaufanych danych w motywie Dwell firmy ThemeREX Group pozwala na wstrzyknięcie obiektów. Problem dotyczy wersji od n/a do 1.16.0.
- CVE-2026-93941Krytyczne
Podatność deserializacji niezaufanych danych w motywie Edema firmy ThemeREX Group pozwala na wstrzyknięcie obiektów. Problem dotyczy wersji od n/a do 1.2.2.2.
- CVE-2026-93940Krytyczne
Podatność deserializacji niezaufanych danych w motywie Greeny firmy ThemeREX Group pozwala na wstrzyknięcie obiektów. Problem dotyczy wersji od n/a do 2.10.0.
- CVE-2026-93938Krytyczne
Podatność deserializacji niezaufanych danych w motywie Hogwords firmy ThemeREX Group pozwala na wstrzyknięcie obiektów. Problem dotyczy wersji od n/a do 1.2.7.
- CVE-2026-93937Krytyczne
Podatność deserializacji niezaufanych danych w motywie Hygia firmy ThemeREX Group pozwala na wstrzyknięcie obiektów. Problem dotyczy wersji od n/a do 1.21.0.
- CVE-2026-93936Krytyczne
Podatność deserializacji niezaufanych danych w motywie IPharm firmy ThemeREX Group pozwala na wstrzyknięcie obiektów. Problem dotyczy wersji od n/a do 1.2.4.
- CVE-2026-93935Krytyczne
Podatność deserializacji niezaufanych danych w motywie Let's Play firmy ThemeREX Group pozwala na wstrzyknięcie obiektów. Problem dotyczy wersji od n/a do 1.1.15.
Oryginalny opis (angielski, źródło NVD)
ZoneMinder v1.36.34 is vulnerable to Command Injection in web/views/image.php. The application passes unsanitized user input directly to the exec() function. NOTE: this is disputed by the Supplier because there is no unsanitized user input to web/views/image.php.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS