CVE-2026-104198 in ZoneMinder
요약
\~에 의해 VulDB • 2026. 10. 15.
ZoneMinder은 무료 오픈 소스 폐쇄 회로 텔레비전(CCTV) 소프트웨어 애플리케이션입니다. 버전 1.34.0부터 1.36.38까지의 버전에서 웹 인터페이스는 web/includes/auth.php 내 실패한 토큰 인증을 잘못 처리합니다. validateToken()은 토큰이 손상되었거나 서명이 유효하지 않을 경우 false를 반환하지만, 호출 측에서는 해당 값을 전역 $user 변수에 할당합니다. web/index.php는 isset($user)를 테스트하므로 부울 값인 false가 존재하는 사용자로 간주되어 정상적인 로그인 리디렉션이 건너뛰어집니다. 이로 인해 외부 인증 게이트에 의존하는 뷰(예: 공격자가 선택한 모니터 ID를 수락하고 독립적인 권한 확인 없이 모니터 및 존 메타데이터를 노출하는 zones 뷰 포함)가 실행될 수 있습니다. 권한 헬퍼는 false 사용자 값을 받아特权 있는 작업을 거부하므로, 무단 상태 변경은 아직 확립되지 않았습니다. 이 취약점은 버전 1.36.63에서 수정되었으며, 여기서 ZM\User 객체로의 변환으로 인해 유효하지 않은 토큰 상태가 뷰 실행 전에 실패합니다. 이후의 심층 방어(in-depth) 개선 사항들은 토큰 검증이 실패한 후 $user를 명시적으로 미설정 상태로 유지하고 웹 인증 게이트에서 ZM\User 값이 아닌 값을 거부하도록 합니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.