CVE-2026-33124

Frigate, IP kameralar üçün real vaxt rejimində lokal obyekt aşkarma imkanına malik şəbəkə video yazıcısıdır (NVR). 0.17.0-beta1 versiyasından əvvəlki versiyalarda hər hansı autentifikasiya olunmuş istifadəçiyə /users/{username}/password son nöqtəsi vasitəsilə cari şifrəni təsdiqləmədən öz şifrəsini dəyişmək imkanı verilir. Şifrənin dəyişdirilməsi mövcud JWT tokenlərini etibarsız etmir və şifrənin güclülüyü ilə bağlı heç bir yoxlama aparılmır. Əgər hücumçu etibarlı sessiya tokeni əldə edərsə (məsələn, təsadüfən açıqlanmış JWT, oğurlanmış kuki, XSS, kompromisə uğramış cihaz və ya HTTP üzərindən sniffinq vasitəsilə), o, qurbanın şifrəsini dəyişə və hesaba daimi nəzarət əldə edə bilər. Şifrə dəyişiklikləri mövcud JWT tokenlərini etibarsız etmədiyi üçün, sessiyanın ələ keçirilməsi şifrə sıfırlamasından sonra belə davam edir. Bundan əlavə, şifrə güclülüyünün yoxlanılmaması hesabları brute-force hücumlarına məruz qoyur. Bu problem 0.17.0-beta1 versiyasında həll edilmişdir.