CVE-2026-75608
WysokieCVSS 7.7Streszczenie
Frigate to open source'owy rejestrator wideo z sieci. Przed wersją 0.18.0 lokalizacja /api/go2rtc/api dopasowywana prefiksem w pliku docker/main/rootfs/usr/local/nginx/conf/nginx.conf wymaga uwierzytelnienia, ale nie wymaga roli administratora dla żądań GET, ujawniając proxowane API go2rtc użytkownikom z rolą viewer. Uwierzytelniony viewer może odpytać podścieżki streams, config, log i stack, aby uzyskać wewnętrzne adresy, ścieżki konfiguracji, logi aplikacji, dane stosu goroutine oraz adresy URL strumieni RTSP, które mogą zawierać dane uwierzytelniające kamer. Problem naprawiono w wersji 0.18.0.
Ocena ryzyka
Użytkownik z niskimi uprawnieniami może uzyskać dostęp do wewnętrznych informacji i potencjalnych danych uwierzytelniających kamer, co może prowadzić do dalszej eskalacji i naruszenia poufności. Metody inne niż GET pozostają zablokowane.
Rekomendacja
Zaktualizuj Frigate do wersji 0.18.0 lub nowszej. Rozważ weryfikację, czy dane uwierzytelniające kamer nie są ujawniane w adresach URL strumieni RTSP.
Inne podatności w Frigate
Zobacz wszystkie- CVE-2026-75607Wysokie
Frigate to open source'owy rejestrator wideo z sieci. Przed wersją 0.17.2 handler WebSocket w frigate/comms/ws.py przekazuje tematy wiadomości wybrane przez atakującego do dyspozytora bez sprawdzania roli uwierzytelnionego użytkownika, ponieważ podzapytanie uwierzytelniające nginx nie dostarcza handlerowi autoryzacji uwzględniającej role. Każdy uwierzytelniony viewer może wysyłać tematy przeznaczone tylko dla administratora, takie jak restart, notifications/set oraz ustawienia detekcji, nagrywania, snapshotów, audio, ruchu i włączania kamer, powodując restarty usługi lub wyłączanie funkcji monitoringu bezpieczeństwa. Problem naprawiono w wersji 0.17.2.
- CVE-2026-54652Wysokie
Podatność w Frigate 0.17.1 pozwala każdemu uwierzytelnionemu użytkownikowi, w tym roli widza, na pobieranie logów Frigate i nginx przez endpoint GET /api/logs/{service}. Logi te mogą zawierać automatycznie wygenerowane hasła administratora oraz dane uwierzytelniające kamery, co umożliwia eskalację uprawnień z widza na administratora.
Oryginalny opis (angielski, źródło NVD)
Frigate is an open source network video recorder. Prior to 0.18.0, the prefix-matched location /api/go2rtc/api in docker/main/rootfs/usr/local/nginx/conf/nginx.conf requires authentication but does not require an administrator role for GET requests, exposing the proxied go2rtc API to viewer users. An authenticated viewer can request the streams, config, log, and stack subpaths to obtain internal addresses, configuration paths, application logs, goroutine stack data, and RTSP stream URLs that may contain camera credentials. Non-GET methods remain blocked by limit_except GET. This issue is fixed in version 0.18.0.