CISA公告：ZoneMinder中的操作系统命令注入漏洞（CVE-2026-76060）

CISA 于 2026 年 8 月 25 日发布了一份网络安全公告，详细说明了开源视频监控软件 ZoneMinder 中的一个高危漏洞 (CVE-2026-76060)。该漏洞是事件导出功能中的经过身份验证的操作系统命令注入，其中 'exportFile' HTTP 参数未经清理就传递给通过 PHP 的 exec() 执行的 shell 命令。具有 'View Events' 权限的经过身份验证的用户可以在服务器上执行任意操作系统命令，从而可能以 Web 服务器用户身份实现完全远程代码执行。受影响的版本是 ZoneMinder 1.37.48 和 1.38.3。CVSS v3.1 下的基本得分为 8.8（高），v4.0 下为 8.7。CISA 发现了一个由 'Scriptkittens' 编写的公开概念验证，并将其报告给 ZoneMinder。供应商建议升级到 1.38.3 或更高版本。目前尚未向 CISA 报告已知的公开利用。CISA 建议用户尽量减少网络暴露、使用防火墙并应用供应商补丁。