Veille sécuritéBackend & données
P3Élevée
ZoneMinder permet à un utilisateur authentifié ayant les droits de créer ou modifier un moniteur de faire exécuter des commandes par le serveur en injectant des métacaractères shell dans le chemin du périphérique d’un moniteur local. Mettez à niveau vers 1.39.2, 1.38.2 ou 1.36.40.
PHP
IdentifiantCVE-2026-30971
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif1.39.2, 1.38.2, 1.36.40
Source : NVD — CVE-2026-30971
Analyse technique
La valeur Device, insuffisamment validée, est interpolée dans des commandes exécutées depuis des chemins de contrôle PHP et Perl. L’exécution peut se produire avec les privilèges de l’utilisateur du serveur web.
Impact, versions et correctif
Événement datéNouvelle publication NVD dans la période : 2026-10-16T20:17:23.190Z. Retenue comme nouvelle vulnérabilité publiée pendant la fenêtre demandée.
ImpactExécution de commandes arbitraires sur le serveur avec les privilèges du serveur web.
Versions affectéesVersions antérieures à 1.39.2, 1.38.2 et 1.36.40
Version corrigée1.39.2, 1.38.2, 1.36.40
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.8
Publication2026-10-16T20:17:23.190Z
Mise à jour2026-10-16T20:17:23.320Z
Action recommandée
Mettre à niveau ZoneMinder vers une version corrigée.
Sources
Priorisation DFS : P3 · 1 source(s).