CVE-2016-10206
WysokieStreszczenie
W podatności CVE-2016-10206 w Zoneminder 1.30 i wcześniejszych wersjach występuje luka CSRF, która pozwala zdalnym atakującym na przejęcie uwierzytelnienia użytkowników w celu zmiany haseł oraz potencjalnie innych działań.
Ocena ryzyka
Atakujący mogą wykorzystać tę lukę do nieautoryzowanych zmian haseł użytkowników, co może prowadzić do dalszych naruszeń bezpieczeństwa w systemie.
Rekomendacja
Zaleca się aktualizację Zoneminder do najnowszej wersji, aby usunąć tę podatność oraz wdrożenie dodatkowych środków ochrony przed atakami CSRF.
Inne podatności w Zoneminder
Zobacz wszystkie- CVE-2026-72556Wysokie
Podatność zdalnego wykonania kodu w ZoneMinder 1.39.17 pozwala każdemu uwierzytelnionemu użytkownikowi na wykonanie poleceń systemu operacyjnego przez wykorzystanie wadliwego sprawdzania uprawnień w klasie Filter. Metody canEdit() i canDelete() wywołują nieistniejące metody na klasie ZM\User, co powoduje, że PHP __call() zwraca wartość prawdziwą, omijając sprawdzenie uprawnień.
- CVE-2016-10205Wysokie
Podatność na oszustwo sesji w Zoneminder 1.30 i wcześniejszych wersjach umożliwia zdalnym atakującym przejęcie sesji internetowych za pomocą ciasteczka ZMSESSID.
- CVE-2017-5368Wysokie
ZoneMinder w wersjach 1.30 i 1.29 jest podatny na atak CSRF, co pozwala zdalnemu napastnikowi na wprowadzenie zmian w aplikacji webowej jako aktualnie zalogowany użytkownik. Atakujący może stworzyć nowego użytkownika admina, co umożliwia dalsze ataki.
- CVE-2016-10204Krytyczne
W podatności CVE-2016-10204 występuje luka typu SQL injection w Zoneminder w wersji 1.30 i wcześniejszych, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametr limit w zapytaniu logu do index.php.
- CVE-2026-76060Wysokie
W ZoneMinder istnieje podatność na wstrzykiwanie poleceń systemu operacyjnego w funkcji eksportu zdarzeń. Parametr exportFile w żądaniu HTTP jest przekazywany bez sanityzacji do polecenia powłoki wykonywanego przez funkcję exec() w PHP, co pozwala każdemu uwierzytelnionemu użytkownikowi z uprawnieniami View Events na wykonanie dowolnych poleceń systemu operacyjnego na serwerze.
- CVE-2023-31493Średnie
Podatność zdalnego wykonania kodu (RCE) w ZoneMinder do wersji 1.36.33 umożliwia atakującemu utworzenie nowego pliku .php w folderze językowym. Poprzez wykonanie spreparowanego ładunku atakujący może eskalować uprawnienia i wykonać dowolne polecenia na zdalnym systemie.
Oryginalny opis (angielski, źródło NVD)
Cross-site request forgery (CSRF) vulnerability in Zoneminder 1.30 and earlier allows remote attackers to hijack the authentication of users for requests that change passwords and possibly have unspecified other impact as demonstrated by a crafted user action request to index.php.