CVE-2026-82448
KrytyczneCVSS 9.8Streszczenie
Shinobi przed commitem 5a76c74f zawiera zakodowany na stałe klucz połączenia w usłudze węzła podrzędnego, który pozwala nieuwierzytelnionym atakującym na wykonywanie dowolnych zapytań do bazy danych. Atakujący, którzy dotrą do portu węzła podrzędnego, mogą przedstawić zakodowany klucz podczas uzgadniania WebSocket, a następnie wysyłać zapytania SQL przez handler onWebSocketDataFromChildNode, aby odczytywać i modyfikować rekordy użytkowników oraz konfigurację kamer.
Ocena ryzyka
Zakodowany klucz umożliwia nieautoryzowany dostęp do bazy danych, co może prowadzić do kradzieży danych użytkowników, modyfikacji konfiguracji kamer i naruszenia prywatności.
Rekomendacja
Zaktualizuj Shinobi do wersji zawierającej poprawkę z commita 5a76c74f. Natychmiast zmień wszystkie klucze połączeń i ogranicz dostęp do portu węzła podrzędnego.
Oryginalny opis (angielski, źródło NVD)
Shinobi before commit 5a76c74f contains a hardcoded connection key in the child node service that allows unauthenticated attackers to execute arbitrary database queries. Attackers reaching the child node port can present the hardcoded key during WebSocket handshake, then dispatch SQL queries through the onWebSocketDataFromChildNode handler to read and modify user records and camera configuration.