Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-862

CVE-2026-62967

ZTNET'te yetki kontrolü hatası: herhangi bir kullanıcı diğer hesapları devre dışı bırakabiliyor

sinamics ztnet

Yüksek 8,1 CVSS 3.1
Yayımlandı
Güncellendi
31 Eki 2026
Açık yaşı
1 gün
Kaydı açan
GitHub_M

Yönetici özeti

Bu açık, sisteme giriş yapabilen sıradan bir kullanıcının yöneticilerin dahil olduğu diğer hesapları kalıcı olarak kilitlemesine olanak tanır. Bu durum, ağ yönetiminin durmasına ve iş süreçlerinde gecikmelere yol açabilir. Etkilenen sürümler kullanılıyorsa güncelleme öncelikli olarak yapılmalıdır.

ÖzetTürkçe

ZTNET, private controller'lar için çok kullanıcılı ve organizasyon destekli bir ZeroTier web arayüzüdür. 0.8.0 öncesi sürümlerde, oturum açmış düşük yetkili bir kullanıcı, invalidateUser uç noktasına yapılan istekte hedef kullanıcının kimliğini belirterek başka bir hesabı, yöneticiler dahil, kalıcı olarak devre dışı bırakabilir. Sunucu tarafında oturumun varlığı kontrol edilir ancak oturum sahibinin kimliği ile istekteki kullanıcı kimliği karşılaştırılmaz.

Saldırgan ne yapabilir?

Saldırgan, hedef hesabın kullanıcı kimliğini bilerek yöneticiler dahil herhangi bir kullanıcının girişini engelleyebilir ve organizasyon yönetimini aksatabilir.

Kaynaktaki açıklama (İngilizce)

ZTNET is a ZeroTier web UI for private controllers with multiuser and organization support. Prior to 0.8.0, any authenticated low-privilege user can permanently deactivate another account, including an administrator, through POST /api/auth/user/invalidateUser. In src/pages/api/auth/user/invalidateUser.ts, getServerSession checks only that a session exists and does not compare session.user.id with the client-supplied userId. Supplying a victim's userId and a deviceId for which no matching pair exists in UserDevice makes the handler set the target account's isActive to false. Login is then refused by src/server/auth.ts with account-expired. An attacker needs only a normal authenticated account and the victim's user ID, which may be obtainable from member lists, UI responses, logs, or other application metadata. This can lock administrators out, disrupt organization management, and deny access to any targeted user. This issue is fixed in version 0.8.0.

Ne yapmalı?

  1. ZTNET'i 0.8.0 veya üzeri bir sürüme güncelleyin. Üretici
  2. Güncelleme öncesinde yöneticilerin hesap durumunu kontrol edin ve kilitlenen hesapları yeniden etkinleştirin. Genel öneri
  3. Güncelleme tamamlanana kadar kayıt olabilen veya yeni hesap açabilen kullanıcı sayısını sınırlayın ve yönetici hesaplarını gözden geçirin. Genel öneri

Ek önlemler

  • Hesap devre dışı bırakma işlemlerini içeren uç nokta isteklerini sunucu kayıtlarında izleyin ve beklenmeyen değişiklikleri inceleyin. Genel öneri
  • Yönetici hesapları için en az yetkili prensibini uygulayın ve yönetici olmayan kullanıcıların gereksiz erişimini kaldırın. Genel öneri

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
sinamics ztnet < 0.8.0 0.8.0

Kaynaklar6 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.