CVE-2017-5368
WysokieStreszczenie
ZoneMinder w wersjach 1.30 i 1.29 jest podatny na atak CSRF, co pozwala zdalnemu napastnikowi na wprowadzenie zmian w aplikacji webowej jako aktualnie zalogowany użytkownik. Atakujący może stworzyć nowego użytkownika admina, co umożliwia dalsze ataki.
Ocena ryzyka
Podatność ta stwarza poważne ryzyko dla bezpieczeństwa, ponieważ umożliwia nieautoryzowanym osobom dostęp do konta administratora, co może prowadzić do pełnej kontroli nad systemem.
Rekomendacja
Zaleca się aktualizację ZoneMinder do najnowszej wersji oraz wdrożenie dodatkowych zabezpieczeń, takich jak tokeny CSRF, aby zminimalizować ryzyko tego typu ataków.
Inne podatności w ZoneMinder
Zobacz wszystkie- CVE-2026-72556Wysokie
Podatność zdalnego wykonania kodu w ZoneMinder 1.39.17 pozwala każdemu uwierzytelnionemu użytkownikowi na wykonanie poleceń systemu operacyjnego przez wykorzystanie wadliwego sprawdzania uprawnień w klasie Filter. Metody canEdit() i canDelete() wywołują nieistniejące metody na klasie ZM\User, co powoduje, że PHP __call() zwraca wartość prawdziwą, omijając sprawdzenie uprawnień.
- CVE-2016-10206Wysokie
W podatności CVE-2016-10206 w Zoneminder 1.30 i wcześniejszych wersjach występuje luka CSRF, która pozwala zdalnym atakującym na przejęcie uwierzytelnienia użytkowników w celu zmiany haseł oraz potencjalnie innych działań.
- CVE-2016-10205Wysokie
Podatność na oszustwo sesji w Zoneminder 1.30 i wcześniejszych wersjach umożliwia zdalnym atakującym przejęcie sesji internetowych za pomocą ciasteczka ZMSESSID.
- CVE-2016-10204Krytyczne
W podatności CVE-2016-10204 występuje luka typu SQL injection w Zoneminder w wersji 1.30 i wcześniejszych, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametr limit w zapytaniu logu do index.php.
- CVE-2026-76060Wysokie
W ZoneMinder istnieje podatność na wstrzykiwanie poleceń systemu operacyjnego w funkcji eksportu zdarzeń. Parametr exportFile w żądaniu HTTP jest przekazywany bez sanityzacji do polecenia powłoki wykonywanego przez funkcję exec() w PHP, co pozwala każdemu uwierzytelnionemu użytkownikowi z uprawnieniami View Events na wykonanie dowolnych poleceń systemu operacyjnego na serwerze.
- CVE-2023-31493Średnie
Podatność zdalnego wykonania kodu (RCE) w ZoneMinder do wersji 1.36.33 umożliwia atakującemu utworzenie nowego pliku .php w folderze językowym. Poprzez wykonanie spreparowanego ładunku atakujący może eskalować uprawnienia i wykonać dowolne polecenia na zdalnym systemie.
Oryginalny opis (angielski, źródło NVD)
ZoneMinder v1.30 and v1.29, an open-source CCTV server web application, is vulnerable to CSRF (Cross Site Request Forgery) which allows a remote attack to make changes to the web application as the current logged in victim. If the victim visits a malicious web page, the attacker can silently and automatically create a new admin user within the web application for remote persistence and further attacks. The URL is /zm/index.php and sample parameters could include action=user uid=0 newUser[Username]=attacker1 newUser[Password]=Password1234 conf_password=Password1234 newUser[System]=Edit (among others).