В Zabbix версий с 4.0.x до 4.0.28rc1, с 5.0.0alpha1 до 5.0.10rc1, с 5.2.x до 5.2.6rc1 и с 5.4.0alpha1 до 5.4.0beta2 контроллеру CController…

В Zabbix версий с 4.0.x до 4.0.28rc1, с 5.0.0alpha1 до 5.0.10rc1, с 5.2.x до 5.2.6rc1 и с 5.4.0alpha1 до 5.4.0beta2 контроллеру CControllerAuthenticationUpdate не хватает механизма защиты CSRF. Код внутри этого контроллера вызывает diableSIDValidation внутри метода init(). Злоумышленнику не нужно знать учетные данные для входа пользователя Zabbix, но необходимо знать правильный URL-адрес Zabbix и контактную информацию существующего пользователя с достаточными привилегиями.