CVE-2026-67827
NieznaneStreszczenie
Nieprawidłowa kontrola dostępu w module HTTP API w ZLMediaKit (commit 9fd5152) umożliwia zdalne wykonanie kodu (RCE) poprzez nieuwierzytelniony dostęp do punktu API setServerConfig, który pozwala nadpisać parametr ffmpeg.snap dowolnymi poleceniami powłoki. Polecenia są następnie wykonywane przez punkt API getSnap z uprawnieniami procesu ZLMediaKit.
Ocena ryzyka
Pełne przejęcie systemu przez zdalnego atakującego bez uwierzytelnienia, co może prowadzić do poważnych naruszeń bezpieczeństwa.
Rekomendacja
Zastosuj poprawki lub zaktualizuj ZLMediaKit. Ogranicz dostęp do API i wymagaj uwierzytelnienia dla wrażliwych punktów.
Inne podatności w ZLMediaKit
Zobacz wszystkie- CVE-2026-81028Średnie
ZLMediaKit ogranicza API downloadFile do skonfigurowanych katalogów głównych, ale porównanie prefiksów nie uwzględnia granic katalogów. Żądana ścieżka jest akceptowana, jeśli zaczyna się od skonfigurowanego katalogu, co pozwala na odczyt plików z katalogów o podobnych nazwach. Wymagany jest sekret API, ale serwer w kontenerze działa jako root.
- CVE-2026-35203Wysokie
ZLMediaKit, framework usług strumieniowych, zawiera podatność na przepełnienie bufora sterty w parserze ładunku RTP VP9 w pliku ext-codec/VP9Rtp.cpp. Brak weryfikacji długości danych przed odczytem może prowadzić do odczytu poza przydzielonym buforem.
Oryginalny opis (angielski, źródło NVD)
Incorrect Access Control in the HTTP API module in ZLMediaKit commit 9fd5152 allows remote attackers to achieve Remote Code Execution (RCE) via unauthenticated access to the setServerConfig API endpoint, which permits overwriting the ffmpeg.snap configuration parameter with arbitrary shell commands. These commands are subsequently executed through the getSnap API endpoint with the privileges of the ZLMediaKit process.