CVE-2026-62967 in ZTNET
Zusammenfassung
von VulDB • 30.10.2026
ZTNET ist eine ZeroTier-Web-Benutzeroberfläche für private Controller mit Unterstützung für mehrere Benutzer und Organisationen. Vor Version 0.8.0 kann jeder authentifizierte Benutzer mit geringen Berechtigungen ein anderes Konto, einschließlich eines Administrators, dauerhaft deaktivieren, indem er `POST /api/auth/user/invalidateUser` aufruft. In `src/pages/api/auth/user/invalidateUser.ts` prüft `getServerSession` lediglich das Vorhandensein einer Sitzung und vergleicht `session.user.id` nicht mit der vom Client angegebenen `userId`. Durch die Angabe der `userId` eines Opfers und einer `deviceId`, für die kein passendes Paar in `UserDevice` existiert, setzt der Handler den Wert von `isActive` des Zielkontos auf false. Die Anmeldung wird daraufhin durch `src/server/auth.ts` mit dem Fehlercode `account-expired` verweigert. Ein Angreifer benötigt lediglich ein normales authentifiziertes Konto und die Benutzer-ID des Opfers, die aus Mitgliederverzeichnissen, UI-Antworten, Protokollen oder anderen Anwendungsdaten abgerufen werden kann. Dies kann dazu führen, dass Administratoren ausgesperrt werden, das Organisationsmanagement gestört wird und jedem betroffenen Benutzer der Zugang verwehrt wird. Dieses Problem wurde in Version 0.8.0 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.