CVE-2026-62967 in ZTNET
要約
〜によって VulDB • 2026年10月30日
ZTNETは、マルチユーザーおよび組織サポートを備えたプライベートコントローラー向けのZeroTier Web UIです。バージョン0.8.0より前では、認証済みで権限の低い任意のユーザーが `POST /api/auth/user/invalidateUser` を介して管理者を含む他のアカウントを恒久的に無効化できます。`src/pages/api/auth/user/invalidateUser.ts` において、`getServerSession` はセッションが存在することのみを確認し、`session.user.id` とクライアントから提供された `userId` の比較を行いません。攻撃者が被害者の `userId` および `UserDevice` に一致するペアが存在しない `deviceId` を指定すると、ハンドラは対象アカウントの `isActive` を false に設定します。その後、`src/server/auth.ts` によってログインが拒否され（エラーメッセージ: account-expired）、攻撃者は通常の認証済みアカウントと被害者のユーザーIDのみを必要とします。このユーザーIDはメンバーリスト、UIレスポンス、ログ、またはその他のアプリケーションメタデータから取得可能である可能性があります。これにより管理者のロックアウト、組織管理への支障、および対象ユーザーによるアクセス拒否が発生する可能性があります。本問題はバージョン0.8.0で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.