CVE-2026-72556
WysokieCVSS 8.8Streszczenie
Podatność zdalnego wykonania kodu w ZoneMinder 1.39.17 pozwala każdemu uwierzytelnionemu użytkownikowi na wykonanie poleceń systemu operacyjnego przez wykorzystanie wadliwego sprawdzania uprawnień w klasie Filter. Metody canEdit() i canDelete() wywołują nieistniejące metody na klasie ZM\User, co powoduje, że PHP __call() zwraca wartość prawdziwą, omijając sprawdzenie uprawnień.
Ocena ryzyka
Organizacja narażona jest na pełne przejęcie serwera przez dowolnego uwierzytelnionego użytkownika, co może prowadzić do naruszenia bezpieczeństwa i integralności systemu.
Rekomendacja
Należy natychmiast zaktualizować ZoneMinder do wersji z poprawką lub ręcznie naprawić sprawdzanie uprawnień w klasie Filter.
Oryginalny opis (angielski, źródło NVD)
A remote code execution vulnerability in ZoneMinder 1.39.17 allows any authenticated user to execute OS commands by exploiting a broken permission check in the Filter class. The canEdit() and canDelete() methods invoke nonexistent methods on the ZM\User class, causing PHP __call() to return a truthy value that bypasses the permission check for all users. Any authenticated user can trigger filter-based OS command execution regardless of their assigned role.