CVE-2026-104198

ZoneMinder ücretsiz ve açık kaynaklı bir kapalı devre televizyon yazılım uygulamasıdır. 1.34.0 ile 1.36.38 arasındaki sürümlerde, web arayüzü web/includes/auth.php dosyasındaki başarısız token kimlik doğrulamasını hatalı yönetmektedir. Bir token hatalı biçimlendirildiğinde veya geçersiz bir imzaya sahip olduğunda validateToken() fonksiyonu false değerini döndürür, ancak çağıran taraf bu değeri küresel $user değişkenine atar; web/index.php dosyası isset($user) kontrolünü yaptığı için boolean false değeri mevcut bir kullanıcı olarak değerlendirilir ve normal giriş yönlendirmesi atlanır. Bu durum, bölgeler görünümü dahil olmak üzere dış kimlik doğrulama kapısına güvenen görünümlerin çağrılmasına neden olabilir; söz konusu görünüm, saldırgan tarafından seçilen bir monitör ID'sini kabul eder ve bağımsız bir izin kontrolü yapmadan monitör ve bölge meta verilerini ifşa eder. İzin yardımcıları false kullanıcı değerini alır ve ayrıcalıklı işlemleri reddeder, bu nedenle yetkisiz durum değişiklikleri tespit edilmemiştir. Bu güvenlik açığı, ZM\User nesnelerine dönüştürme işleminin geçersiz token durumunun görünüm dağıtımı öncesinde başarısız olmasını sağladığı 1.36.63 sürümünde düzeltilmiştir. Daha sonra yapılan derinlemesine savunma değişiklikleri, başarısız token doğrulamasından sonra $user değişkeninin açıkça atanmamış kalmasını sağlar ve web kimlik doğrulama kapısında ZM\User olmayan değerleri reddeder.