CVE-2019-7347
Publiée le 2019-02-04 · Dernière modification le 2026-06-17
Les installations de ZoneMinder jusqu'à la version 1.32.3 sont affectées par une faille de gestion des sessions. Un attaquant disposant précédemment d'un compte à faibles privilèges peut continuer à accéder aux enregistrements du système et à les modifier — y compris ajouter ou supprimer des utilisateurs et des moniteurs — même après la suppression de son compte. Cela nécessite un accès réseau et une session existante, bien que le timing précis requis pour exploiter la condition de concurrence (race condition) rende l'opération difficile à réaliser.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
A Time-of-check Time-of-use (TOCTOU) Race Condition exists in ZoneMinder through 1.32.3 as a session remains active for an authenticated user even after deletion from the users table. This allows a nonexistent user to access and modify records (add/delete Monitors, Users, etc.).