CVE-2026-62967 in ZTNET
الملخص
بحسب VulDB • 30/10/2026
ZTNET هو واجهة ويب لـ ZeroTier مخصصة للتحكم الخاص، ويدعم تعدد المستخدمين ومنظمات العمل. قبل الإصدار 0.8.0، يمكن لأي مستخدم مُصادق عليه ذي صلاحيات منخفضة تعطيل حساب آخر بشكل دائم، بما في ذلك حساب المسؤول، عبر `POST /api/auth/user/invalidateUser`. داخل الملف `src/pages/api/auth/user/invalidateUser.ts`، تقوم الدالة `getServerSession` بالتحقق فقط من وجود جلسة عمل (session) ولا تقارن قيمة `session.user.id` مع قيمة `userId` المقدمة من العميل. يؤدي تزويد المعالج بـ `userId` لضحية و `deviceId` لا يوجد لها زوج مطابق في جدول `UserDevice` إلى تعيين حالة الحساب المستهدف (`isActive`) إلى false. بعد ذلك، يتم رفض تسجيل الدخول بواسطة الملف `src/server/auth.ts` برسالة خطأ `account-expired`. يحتاج المهاجم فقط إلى حساب مُصادق عليه عادي ومعرف المستخدم الخاص بالضحية، والذي قد يكون متاحاً من خلال قوائم الأعضاء أو استجابات واجهة المستخدم أو السجلات (logs) أو بيانات التطبيق الأخرى. يمكن أن يؤدي هذا الخطأ إلى عزل المسؤولين عن النظام، وتعطيل إدارة المنظمة، ومنع الوصول لأي مستخدم مستهدف. تم إصلاح هذه المشكلة في الإصدار 0.8.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.