CVE-2026-21891
KrytyczneStreszczenie
W ZimaOS (do wersji 1.5.0 włącznie) aplikacja sprawdza poprawność nazwy użytkownika, ale pomija, błędnie interpretuje lub nieprawidłowo weryfikuje hasło, gdy podana nazwa użytkownika odpowiada znanemu kontu usługowemu systemu. Funkcja logowania nie obsługuje poprawnie wyniku walidacji hasła dla tych użytkowników, co skutecznie przyznaje dostęp każdemu, kto zna jedną z tych popularnych nazw użytkownika i poda dowolne hasło. W chwili publikacji nie są dostępne żadne znane wersje z poprawką.
Ocena ryzyka
Osoba znająca nazwę konta usługowego może uzyskać dostęp bez prawidłowego hasła, co może prowadzić do nieautoryzowanego dostępu do systemu i danych.
Rekomendacja
Należy ograniczyć dostęp do systemu, monitorować logowania i oczekiwać na oficjalną poprawkę od producenta.
Oryginalny opis (angielski, źródło NVD)
ZimaOS is a fork of CasaOS, an operating system for Zima devices and x86-64 systems with UEFI. In versions up to and including 1.5.0, the application checks the validity of the username but appears to skip, misinterpret, or incorrectly validate the password when the provided username matches a known system service account. The application's login function fails to properly handle the password validation result for these users, effectively granting authenticated access to anyone who knows one of these common usernames and provides any password. As of time of publication, no known patched versions are available.