ZoneMinder до 1.38.4: некорректная авторизация в frames API (CVE-2026-102297)
В ZoneMinder версий до 1.38.4 обнаружена уязвимость некорректной авторизации в конечной точке index контроллера FramesController. Аутентифицированный пользователь с правом просмотра событий может получить метаданные кадров и событий с мониторов, доступ к которым ему запрещён. Критичность оценивается как средняя (CVSS 5.3).
Подробности
Уязвимость затрагивает ZoneMinder версий до 1.38.4 и связана с некорректной авторизацией в конечной точке index контроллера FramesController. При обработке запросов к frames API приложение не применяет ограничения доступа, заданные для отдельных мониторов. В результате аутентифицированный пользователь, обладающий правом просмотра событий (Events view permission), может вызвать frames API и получить список записей кадров с тех мониторов, доступ к которым ему явно запрещён. Это приводит к раскрытию метаданных событий и кадров за пределами разрешённых границ мониторов. Уязвимости присвоен идентификатор CVE-2026-102297. Базовая оценка по шкале CVSS составляет 5.3, что соответствует среднему уровню опасности. Для эксплуатации требуется наличие действующей учётной записи с правом просмотра событий, поэтому атака возможна как со стороны внешнего злоумышленника с валидными учётными данными, так и со стороны недоверенного внутреннего пользователя. Целостность и доступность системы при этом не нарушаются — речь идёт исключительно о несанкционированном раскрытии информации. Аффектированный продукт — ZoneMinder (zoneminder).Что делать
Основная рекомендация — обновить ZoneMinder до версии 1.38.4 или более поздней, в которой некорректная авторизация в frames API устранена. Перед обновлением следует сделать резервную копию конфигурации и базы данных, чтобы иметь возможность отката. Если немедленное обновление невозможно, стоит рассмотреть компенсирующие меры: ограничить круг пользователей, обладающих правом просмотра событий, и пересмотреть матрицу доступа к мониторам, исключив избыточные разрешения. Также целесообразно ограничить сетевой доступ к API ZoneMinder средствами межсетевого экрана или обратного прокси и включить журналирование обращений к frames API для выявления подозрительной активности. Дополнительно рекомендуется провести проверку учётных записей с правом Events view и убедиться, что среди них нет лишних или устаревших. Поскольку эксплуатация требует аутентификации, усиление контроля над учётными данными и внедрение многофакторной аутентификации снижают вероятность практического использования уязвимости.Итог
CVE-2026-102297 — это уязвимость средней критичности, при которой пользователь с правом просмотра событий может через frames API получать метаданные кадров с недоступных ему мониторов. Наиболее надёжное решение — обновление до ZoneMinder 1.38.4. До установки патча следует ограничить доступ к API и пересмотреть права пользователей, чтобы снизить риск утечки информации о событиях и кадрах.Источник: CVE Project (cvelistV5)