CVE-2026-46488
KrytyczneCVSS 9.1Streszczenie
motionEye (mEye) to interfejs online dla oprogramowania "motion", programu do nadzoru wideo z detekcją ruchu. Przed wersją 0.44.0 motionEye akceptuje kontrolowane przez klienta pliki cookie meye_username i meye_password_hash jako materiał uwierzytelniający bez walidacji sesji po stronie serwera. Nieuwierzytelniony atakujący, który zna nazwę użytkownika i odpowiadający jej hash, może ręcznie ustawić pliki cookie lub spowodować ich załadowanie, przesyłając puste poświadczenia przez przepływ uwierzytelniania switch-user, po czym serwer uwierzytelnia atakującego jako tego użytkownika. Nazwa użytkownika administratora i wartość hasha hasła są przechowywane w /etc/motioneye/motion.conf, który jest domyślnie globalnie czytelny, co pozwala lokalnemu użytkownikowi powłoki uzyskać materiał poświadczeń administratora wielokrotnego użytku. Udane podszycie się może umożliwić blokadę konta, zmiany haseł i trwałość, wyliczanie danych, niszczenie danych i eksfiltrację danych. Problem został naprawiony w wersji 0.44.0.
Ocena ryzyka
Podatność umożliwia nieuwierzytelnionym atakującym podszycie się pod administratora, co może prowadzić do przejęcia kontroli nad systemem nadzoru, zmiany haseł, eksfiltracji lub zniszczenia danych.
Rekomendacja
Zaktualizuj motionEye do wersji 0.44.0 lub nowszej oraz zabezpiecz plik /etc/motioneye/motion.conf, ograniczając jego czytelność.
Inne podatności w motionEye
Zobacz wszystkie- CVE-2026-55863Średnie
motionEye (mEye) to interfejs online dla programu "motion", czyli systemu monitoringu wizyjnego z detekcją ruchu. W wersjach przed 0.44.0 metoda ActionHandler.post() w motioneye/handlers/action.py nie ma dekoratora BaseHandler.auth(), co pozwala nieuwierzytelnionemu zdalnemu atakującemu wysyłać żądania do /action/<camera_id>/<action>. Endpoint może wywoływać akcje snapshot, record_start i record_stop, a gdy administrator skonfigurował skrypty akcji, także sterowanie PTZ, akcje alarmowe, oświetleniowe i inne predefiniowane polecenia; skonfigurowane zdalne kamery motionEye mogą umożliwić żądania po stronie serwera do zdalnej usługi kamery. Problem naprawiono w wersji 0.44.0.
- CVE-2025-60787Wysokie
Podatność w MotionEye v0.43.1b4 i wcześniejszych umożliwia wstrzyknięcie poleceń systemu operacyjnego przez parametry konfiguracyjne, takie jak image_file_name. Niesanitizowane dane wejściowe użytkownika są zapisywane do plików konfiguracyjnych Motion, co pozwala zdalnym, uwierzytelnionym atakującym z dostępem administracyjnym na wykonanie kodu po ponownym uruchomieniu Motion.
Oryginalny opis (angielski, źródło NVD)
motionEye (mEye) is an online interface for a piece of software called "motion," which is a video surveillance program with motion detection. Prior to 0.44.0, motionEye accepts the client-controlled meye_username and meye_password_hash cookies as authentication material without server-side session validation. An unauthenticated attacker who knows a target username and corresponding hash can set the cookies manually or cause them to be loaded by submitting blank credentials through the switch-user authentication flow, after which the server authenticates the attacker as that user. The administrator username and password-hash value are stored in /etc/motioneye/motion.conf, which is globally readable by default, allowing a local shell user to obtain reusable administrator credential material. Successful impersonation can enable account lockout, password changes and persistence, data enumeration, data destruction, and data exfiltration. This issue is fixed in version 0.44.0.