CVE-2023-26032
Zoneminder je bezplatná televizní aplikace s otevřeným zdrojovým zdrojem pro Linux, která podporuje IP, USB a analogové kamery. Verze před 1,36,33 a 1,37,33 obsahují injekci SQL prostřednictvím škodlivého webového tokenu Jason. Pole uživatelského jména tokenu JWT bylo důvěryhodné při provádění dotazu SQL pro načtení uživatele. Pokud by útočník mohl určit klíč hash, který používá Zoneminder, mohl by vygenerovat škodlivý token JWT a použít jej k provedení libovolného SQL. Tento problém je vyřešen ve verzích 1.36.33 a 1.37.33.
MISC: https://github.com/ZoneMinder/zoneminder/security/advisories/GHSA-6c72-q9mw-mwx9
CVE: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-26032
published: 24. 2. 2023
