CVE-2026-62967

Nome do Software Vulnerável e Versões Afetadas ZTNET versões anteriores a 0.8.0

Descrição Um usuário autenticado de baixo privilégio pode desativar permanentemente qualquer outra conta, incluindo contas de administradores. Isso ocorre por meio do endpoint POST /api/auth/user/invalidateUser. O problema reside em src/pages/api/auth/user/invalidateUser.ts, onde a função getServerSession verifica a existência de uma sessão, mas não compara o session.user.id com a variável userId fornecida. Ao fornecer o userId de uma vítima e um deviceId que não possua um par correspondente em UserDevice, o manipulador define a variável isActive da conta alvo como false. Consequentemente, o arquivo src/server/auth.ts recusa tentativas de login com uma mensagem de conta expirada. Um invasor precisa de uma conta autenticada normal e do ID de usuário da vítima, que pode ser obtido de listas de membros, respostas da interface do usuário, logs ou metadados do aplicativo.

Recomendações Atualizar para a versão 0.8.0. Evite usar o parâmetro userId no endpoint POST /api/auth/user/invalidateUser até que a atualização seja aplicada.