Vulnerabilidad en la petición a la aplicación web de ZoneMinder (CVE-2022-39290)
Gravedad CVSS v3.1:
MEDIA
Tipo:
CWE-287
Autenticación incorrecta
Fecha de publicación:
07/10/2022
Última modificación:
27/03/2023
Descripción
ZoneMinder es una aplicación de software de televisión en circuito cerrado gratuita y de código abierto. En las versiones afectadas, los usuarios autenticados pueden omitir las claves de tipo CSRF al modificar la petición suministrada a la aplicación web de Zoneminder. Estas modificaciones incluyen la sustitución de HTTP POST por un HTTP GET y la eliminación de la clave CSRF de la petición. Un atacante puede aprovecharse de esto al usar una petición HTTP GET para llevar a cabo acciones sin protección de tipo CSRF. Esto podría permitir a un atacante llevar a cabo acciones no esperadas en la aplicación web por parte de un usuario autenticado. Es recomendado a usuarios actualizar lo antes posible. No se presentan mitigaciones conocidas para este problema
Impacto
Puntuación base 3.x
6.50
Gravedad 3.x
MEDIA
Productos y versiones vulnerables
| CPE | Desde | Hasta |
|---|---|---|
| cpe:2.3:a:zoneminder:zoneminder:*:*:*:*:*:*:*:* | 1.36.27 (excluyendo) | |
| cpe:2.3:a:zoneminder:zoneminder:*:*:*:*:*:*:*:* | 1.37.0 (excluyendo) | 1.37.24 (excluyendo) |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página