ZoneMinder v1.30 и v1.29, веб-приложение сервера видеонаблюдения с открытым исходным кодом, уязвим для CSRF (Cross Site Request Forgery), ч…

ZoneMinder v1.30 и v1.29, веб-приложение сервера видеонаблюдения с открытым исходным кодом, уязвим для CSRF (Cross Site Request Forgery), что позволяет удаленной атаке вносить изменения в веб-приложение от имени текущей залогиненной жертвы. Если жертва посещает вредоносную веб-страницу, злоумышленник может молча и автоматически создать нового пользователя-администратора в веб-приложении для удаленной постоянной работы и дальнейших атак. URL-адрес — /zm/index.php, и примеры параметров могут включать action=user uid=0 newUser[Username]=attacker1 newUser[Password]=Password1234 conf_password=Password1234 newUser[System]=Edit (среди прочих).