p PatchFirst

CVE-2026-27470

CVE-2026-27470 · ZoneMinder: Second-Order SQL Injection in `getNearEvents()` via Stored Event Name and Cause Fields

Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.

ZoneMinder is a free, open source closed-circuit television software application. In versions 1.36.37 and below and 1.37.61 through 1.38.0, there is a second-order SQL Injection vulnerability in the web/ajax/status.php file within the getNearEvents() function. Event field values (specifically Name and Cause) are stored safely via parameterized queries but are later retrieved and concatenated directly into SQL WHERE clauses without escaping. An authenticated user with Events edit and view permissions can exploit this to execute arbitrary SQL queries.

CVSS 8.8 · Alta · EPSS 0,5%

Publicación
Actualización

Pila tecnológica: system

Productos y versiones afectados

  • zoneminder

    Versiones
    • < 1.36.38: Afectada
    • >= 1.37.61, < 1.38.1: Afectada

    Sin corrección publicada

  • zoneminder Debian:12

    Versiones
    • 1.36.33+dfsg1-1
    • 1.36.35+dfsg1-1
    • 1.36.37+dfsg1-1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • zoneminder Debian:13

    Versiones
    • 1.36.35+dfsg1-1
    • 1.36.37+dfsg1-1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • zoneminder Debian:14

    Versiones
    • 1.36.35+dfsg1-1
    • 1.36.37+dfsg1-1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • zoneminder Ubuntu:Pro:16.04:LTS

    Versiones
    • 1.28.1-8
    • 1.29.0+dfsg-1
    • 1.29.0+dfsg-1ubuntu1
    • 1.29.0+dfsg-1ubuntu2
    • 1.29.0+dfsg-1ubuntu2+esm1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • zoneminder Ubuntu:Pro:20.04:LTS

    Versiones
    • 1.32.3-2build1
    • 1.32.3-2ubuntu1
    • 1.32.3-2ubuntu2
    • 1.32.3-2ubuntu2+esm1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • zoneminder Ubuntu:Pro:22.04:LTS

    Versiones
    • 1.36.7+dfsg1-1
    • 1.36.10+dfsg1-1
    • 1.36.11+dfsg1-1
    • 1.36.12+dfsg1-1
    • 1.36.12+dfsg1-1ubuntu0.1~esm1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • zoneminder Ubuntu:24.04:LTS

    Versiones
    • 1.36.33+dfsg1-1build1
    • 1.36.33+dfsg1-1build2
    • 1.36.33+dfsg1-1build3
    • 1.36.33+dfsg1-1build4
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • zoneminder Ubuntu:25.10

    Versiones
    • 1.36.35+dfsg1-1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • zoneminder Ubuntu:26.10

    Versiones
    • 1.36.37+dfsg1-1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • zoneminder Ubuntu:26.04:LTS

    Versiones
    • 1.36.35+dfsg1-1
    • 1.36.37+dfsg1-1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

Fuentes originales

Comprueba tu servidor →