CVE-2026-104198 in ZoneMinder
Riassunto
di VulDB • 16/10/2026
ZoneMinder è un'applicazione software per la videosorveglianza a circuito chiuso (CCTV) gratuita e open source. Nelle versioni 1.34.0 attraverso 1.36.38, l'interfaccia web gestisce in modo errato il fallimento dell'autenticazione del token in `web/includes/auth.php`. La funzione `validateToken()` restituisce false quando un token è malformato o ha una firma non valida, ma il chiamante assegna tale valore alla variabile globale `$user`; poiché `web/index.php` verifica la presenza di `$user` tramite `isset($user)`, il booleano false viene interpretato come un utente presente e l'ordinario reindirizzamento del login viene saltato. Ciò può consentire l'esecuzione di visualizzazioni che si affidano al controllo di autenticazione esterno, inclusa la vista delle zone (zones view), che accetta un ID monitor selezionato dall'attaccante e rivela i metadati del monitor e della zona senza una verifica indipendente dei permessi. Le funzioni helper per i permessi ricevono il valore false dell'utente e negano le operazioni privilegiate, quindi non sono state stabilite modifiche allo stato non autorizzate. Questa vulnerabilità è risolta nella versione 1.36.63, dove la conversione in oggetti `ZM\User` fa sì che lo stato del token non valido fallisca prima dell'esecuzione della visualizzazione. Successivi cambiamenti di difesa in profondità lasciano esplicitamente `$user` non impostato dopo una convalida del token fallita e rifiutano i valori diversi da `ZM\User` al gate di autenticazione web.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.