CVE-2026-54652
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
Podatność w Frigate 0.17.1 pozwala każdemu uwierzytelnionemu użytkownikowi, w tym roli widza, na pobieranie logów Frigate i nginx przez endpoint GET /api/logs/{service}. Logi te mogą zawierać automatycznie wygenerowane hasła administratora oraz dane uwierzytelniające kamery, co umożliwia eskalację uprawnień z widza na administratora.
Ocena ryzyka
Organizacja narażona jest na wyciek poufnych danych uwierzytelniających (hasła admina i kamer) oraz nieautoryzowane przejęcie pełnej kontroli nad systemem monitoringu przez użytkownika o niskich uprawnieniach.
Rekomendacja
Należy natychmiast ograniczyć dostęp do endpointu /api/logs/{service} tylko dla administratorów, a także rozważyć tymczasowe wyłączenie tego endpointu do czasu wydania oficjalnej łatki.
Inne podatności w Frigate
Zobacz wszystkie- CVE-2026-75607Wysokie
Frigate to open source'owy rejestrator wideo z sieci. Przed wersją 0.17.2 handler WebSocket w frigate/comms/ws.py przekazuje tematy wiadomości wybrane przez atakującego do dyspozytora bez sprawdzania roli uwierzytelnionego użytkownika, ponieważ podzapytanie uwierzytelniające nginx nie dostarcza handlerowi autoryzacji uwzględniającej role. Każdy uwierzytelniony viewer może wysyłać tematy przeznaczone tylko dla administratora, takie jak restart, notifications/set oraz ustawienia detekcji, nagrywania, snapshotów, audio, ruchu i włączania kamer, powodując restarty usługi lub wyłączanie funkcji monitoringu bezpieczeństwa. Problem naprawiono w wersji 0.17.2.
- CVE-2026-75608Wysokie
Frigate to open source'owy rejestrator wideo z sieci. Przed wersją 0.18.0 lokalizacja /api/go2rtc/api dopasowywana prefiksem w pliku docker/main/rootfs/usr/local/nginx/conf/nginx.conf wymaga uwierzytelnienia, ale nie wymaga roli administratora dla żądań GET, ujawniając proxowane API go2rtc użytkownikom z rolą viewer. Uwierzytelniony viewer może odpytać podścieżki streams, config, log i stack, aby uzyskać wewnętrzne adresy, ścieżki konfiguracji, logi aplikacji, dane stosu goroutine oraz adresy URL strumieni RTSP, które mogą zawierać dane uwierzytelniające kamer. Problem naprawiono w wersji 0.18.0.
Oryginalny opis (angielski, źródło NVD)
Frigate is an open source network video recorder. In version 0.17.1, the GET /api/logs/{service} endpoint allows any authenticated user including the viewer role to download Frigate and nginx logs, exposing auto-generated admin passwords and camera credentials logged in request query strings and enabling viewer-to-admin privilege escalation. A fixed release has not been identified.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS