CVE-2026-62967 in ZTNET
요약
\~에 의해 VulDB • 2026. 10. 31.
ZTNET는 다중 사용자 및 조직 지원을 갖춘 프라이빗 컨트롤러를 위한 ZeroTier 웹 UI입니다. 버전 0.8.0 이전에는 권한이 낮은 인증된 사용자는 `POST /api/auth/user/invalidateUser` 엔드포인트를 통해 관리자 계정을 포함한 다른 계정의 상태를 영구적으로 비활성화할 수 있습니다. `src/pages/api/auth/user/invalidateUser.ts`에서 `getServerSession`은 세션의 존재 여부만 확인하며, `session.user.id`와 클라이언트가 제공한 `userId` 간의 비교는 수행하지 않습니다. 대상 사용자의 `userId`와 `UserDevice` 테이블에 일치하는 쌍이 없는 `deviceId`를 공급하면 핸들러가 대상 계정의 `isActive` 필드를 false로 설정합니다. 이후 `src/server/auth.ts`에서 `account-expired` 오류 메시지와 함께 로그인이 거부됩니다. 공격자는 일반 인증된 계정과 피해자의 사용자 ID만 있으면 되며, 이 정보는 멤버 목록, UI 응답, 로그 또는 기타 애플리케이션 메타데이터를 통해 획득할 수 있습니다. 이로 인해 관리자가 잠기거나 조직 관리가 방해받으며 대상 사용자의 접근이 차단될 수 있습니다. 해당 문제는 버전 0.8.0에서 수정되었습니다.
Once again VulDB remains the best source for vulnerability data.