CVE-2026-75607
WysokieCVSS 8.1Streszczenie
Frigate to open source'owy rejestrator wideo z sieci. Przed wersją 0.17.2 handler WebSocket w frigate/comms/ws.py przekazuje tematy wiadomości wybrane przez atakującego do dyspozytora bez sprawdzania roli uwierzytelnionego użytkownika, ponieważ podzapytanie uwierzytelniające nginx nie dostarcza handlerowi autoryzacji uwzględniającej role. Każdy uwierzytelniony viewer może wysyłać tematy przeznaczone tylko dla administratora, takie jak restart, notifications/set oraz ustawienia detekcji, nagrywania, snapshotów, audio, ruchu i włączania kamer, powodując restarty usługi lub wyłączanie funkcji monitoringu bezpieczeństwa. Problem naprawiono w wersji 0.17.2.
Ocena ryzyka
Użytkownik z niskimi uprawnieniami może wywołać restarty usługi lub wyłączyć funkcje monitoringu bezpieczeństwa, co może prowadzić do przerw w działaniu i osłabienia ochrony. Wymagane jest włączone uwierzytelnianie i ważne dane uwierzytelniające viewera.
Rekomendacja
Zaktualizuj Frigate do wersji 0.17.2 lub nowszej. Upewnij się, że uwierzytelnianie jest włączone i ogranicz konta viewer do niezbędnych uprawnień.
Inne podatności w Frigate
Zobacz wszystkie- CVE-2026-75608Wysokie
Frigate to open source'owy rejestrator wideo z sieci. Przed wersją 0.18.0 lokalizacja /api/go2rtc/api dopasowywana prefiksem w pliku docker/main/rootfs/usr/local/nginx/conf/nginx.conf wymaga uwierzytelnienia, ale nie wymaga roli administratora dla żądań GET, ujawniając proxowane API go2rtc użytkownikom z rolą viewer. Uwierzytelniony viewer może odpytać podścieżki streams, config, log i stack, aby uzyskać wewnętrzne adresy, ścieżki konfiguracji, logi aplikacji, dane stosu goroutine oraz adresy URL strumieni RTSP, które mogą zawierać dane uwierzytelniające kamer. Problem naprawiono w wersji 0.18.0.
- CVE-2026-54652Wysokie
Podatność w Frigate 0.17.1 pozwala każdemu uwierzytelnionemu użytkownikowi, w tym roli widza, na pobieranie logów Frigate i nginx przez endpoint GET /api/logs/{service}. Logi te mogą zawierać automatycznie wygenerowane hasła administratora oraz dane uwierzytelniające kamery, co umożliwia eskalację uprawnień z widza na administratora.
Oryginalny opis (angielski, źródło NVD)
Frigate is an open source network video recorder. Prior to 0.17.2, the WebSocket handler in frigate/comms/ws.py forwards attacker-selected message topics to the dispatcher without checking the authenticated user's role because the nginx authentication subrequest does not provide role-aware authorization to the handler. Any authenticated viewer can send admin-only topics such as restart, notifications/set, and camera detection, recording, snapshot, audio, motion, and enablement settings, causing service restarts or disabling security monitoring functions. Authentication must be enabled and valid viewer credentials are required. This issue is fixed in version 0.17.2.