CVE-2026-33124

Wysokie

Opublikowano: 20/03/2026(UTC)Przetłumaczono: 31/05/2026(UTC)NVD NIST

Streszczenie

Frigate, jako rejestrator wideo w sieci, w wersjach przed 0.17.0-beta1, pozwala każdemu uwierzytelnionemu użytkownikowi na zmianę własnego hasła bez weryfikacji aktualnego hasła. Zmiana hasła nie unieważnia istniejących tokenów JWT, co umożliwia atakującym przejęcie kontroli nad kontem ofiary.

Ocena ryzyka

Organizacja narażona jest na ryzyko przejęcia kont użytkowników przez atakujących, którzy mogą wykorzystać ważne tokeny sesji do zmiany haseł i uzyskania trwałej kontroli nad kontami. Dodatkowo, brak walidacji siły haseł zwiększa podatność na ataki typu brute-force.

Rekomendacja

Zaleca się aktualizację Frigate do wersji 0.17.0-beta1 lub nowszej, aby usunąć tę podatność. Należy również wdrożyć dodatkowe środki zabezpieczające, takie jak walidacja siły haseł oraz unieważnianie tokenów sesji po zmianie hasła.

Powiązane podatności

Oryginalny opis (angielski, źródło NVD)

Frigate is a network video recorder (NVR) with realtime local object detection for IP cameras. Versions prior to 0.17.0-beta1 allow any authenticated user to change their own password without verifying the current password through the /users/{username}/password endpoint. Changing a password does not invalidate existing JWT tokens, and there is no validation of password strength. If an attacker obtains a valid session token (e.g., via accidentally exposed JWT, stolen cookie, XSS, compromised device, or sniffing over HTTP), they can change the victim’s password and gain permanent control of the account. Since password changes do not invalidate existing JWT tokens, session hijacks persist even after a password reset. Additionally, the lack of password strength validation exposes accounts to brute-force attacks. This issue has been resolved in version 0.17.0-beta1.