CVE-2026-33470
Təsvir
Frigate, IP kameralar üçün real vaxt rejimində lokal obyekt aşkarma funksiyasına malik şəbəkə video yazıcısıdır (NVR). Versiya 0.17.0-da, yalnız bir kamera ilə məhdudlaşdırılmış aşağı imtiyazlı autentifikasiya olunmuş istifadəçi digər kameralardan snapshot-lara daxil ola bilər. Bu, iki avtorizasiya probleminin zənciri vasitəsilə mümkündür: `/api/timeline` çağırış edən istifadəçinin icazə verilmiş kamera dəstindən kənarda olan kameralar üçün zaman oxu (timeline) yazılarını qaytarır, daha sonra `/api/events/{event_id}/snapshot-clean.webp` hissəsi `Depends(require_camera_access)` təyin etsə də, hadisəni tapdıqdan sonra `event.camera`-nı heç vaxt yoxlamır. Birlikdə bu, məhdudlaşdırılmış istifadəçiyə icazə verilməyən kameraların hadisə ID-lərini sadalamağa və daha sonra həmin hadisələr üçün təmiz snapshot-ları əldə etməyə imkan verir. Versiya 0.17.1 bu problemi aradan qaldırır.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| frigate frigate | 0.17.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.