CVE-2024-29192

gotortc kamera yayımı tətbiqidir. 1.8.5 və ondan əvvəlki versiyalar saytlararası sorğu saxtalaşdırmasına (CSRF) qarşı həssasdır. `/api/config` son nöqtəsi istifadəçi tərəfindən verilən dəyərlərlə mövcud konfiqurasiyanı dəyişdirməyə imkan verir. API autentifikasiya olmadan yalnız localhost ilə qarşılıqlı əlaqəyə icazə versə də, hücumçu go2rtc-nin yuxarı axın tətbiqində necə quraşdırıldığından asılı olaraq buna nail ola bilər və bu son nöqtə CSRF-dən qorunmadığı üçün istənilən mənbədən gələn sorğulara icazə verir (məs. "drive-by" hücumu). `exec` işləyicisi istənilən yayıma ixtiyari əmrləri icra etməyə imkan verir. Hücumçu `api/config` vasitəsilə fərdi yayım əlavə edə bilər ki, bu da ixtiyari əmrin icrasına səbəb ola bilər. Zərərçəkənin sözügedən serveri ziyarət etməsi halında, onun brauzeri go2rtc instansiyasına qarşı sorğuları icra edəcək. 8793c3636493c5efdda08f3b5ed5c6e1ea594fd9 commit-i təhlükəsiz API girişi barədə xəbərdarlıq əlavə edir.