CVE-2026-62967
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
ZTNET to internetowy interfejs użytkownika ZeroTier dla prywatnych kontrolerów z obsługą wielu użytkowników i organizacji. Przed wersją 0.8.0 każdy uwierzytelniony użytkownik o niskich uprawnieniach może trwale dezaktywować inne konto, w tym administratora, za pomocą polecenia `POST /api/auth/user/invalidateUser`. W `src/pages/api/auth/user/invalidateUser.ts`, `getServerSession` sprawdza tylko, czy sesja istnieje i nie porównuje `session.user.id` z dostarczonym przez klienta `userId`. Podanie `userId` i `deviceId` ofiary, dla których nie istnieje pasująca para w `UserDevice`, powoduje, że moduł obsługi ustawia parametr `isActive` konta docelowego na false. Logowanie jest następnie odrzucane przez `src/server/auth.ts` z komunikatem `account-expired`. Osoba atakująca potrzebuje jedynie zwykłego uwierzytelnionego konta i identyfikatora użytkownika ofiary, który można uzyskać z list członków, odpowiedzi interfejsu użytkownika, dzienników lub innych metadanych aplikacji. Może to zablokować administratorów, zakłócić zarządzanie organizacją i odmówić dostępu każdemu wybranemu użytkownikowi. Ten problem został rozwiązany w wersji 0.8.0.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org