CVE-2026-104198

ZoneMinder pulsuz və açıq mənbəli qapalı dövrə televiziya proqram təminatıdır. 1.34.0-dan 1.36.38-ə qədər olan versiyalarda veb interfeys web/includes/auth.php faylında uğursuz token autentifikasiyasını yanlış idarə edir. Token deformasiya olunduqda və ya etibarsız imzaya malik olduqda validateToken() funksiyası false qaytarır, lakin çağıran tərəf bu dəyəri qlobal $user dəyişəninə mənimsədir; web/index.php isset($user) yoxlamasını həyata keçirdiyi üçün boolean false mövcud istifadəçi kimi qəbul edilir və normal giriş yönləndirməsi ötürülür. Bu, xarici autentifikasiya qapısından asılı olan görüntülərin, o cümlədən hücumçunun seçdiyi monitor ID-sini qəbul edən və müstəqil icazə yoxlaması olmadan monitor və zona metadata-sını ifşa edən zonalar görüntüsünün göndərilməsinə səbəb ola bilər. İcazə köməkçiləri false istifadəçi dəyərini alır və imtiyazlı əməliyyatları rədd edir, buna görə də icazəsiz vəziyyət dəyişiklikləri müəyyən edilməmişdir. Bu zəiflik 1.36.63 versiyasında aradan qaldırılmışdır; burada ZM\User obyektlərinə çevrilmə prosesi etibarsız token vəziyyətinin görüntü göndərilməzdən əvvəl uğursuz olmasına səbəb olur. Sonrakı dərin müdafiə (defense-in-depth) dəyişiklikləri uğursuz token validasiyasından sonra $user dəyişənini aşkar şəkildə təyin olunmamış saxlayır və veb autentifikasiya qapısında non-ZM\User dəyərlərini rədd edir.