CVE-2026-55488
Təsvir
motionEye (mEye) "motion" adlı proqram üçün onlayn interfeysdir; bu proqram hərəkət aşkarlanması funksiyası olan video müşahidə proqramıdır. 0.44.0-dan əvvəlki versiyalarda bir neçə media faylı emal edicisində mütləq yol keçmə (absolute path traversal) zəifliyi mövcuddur və bu, hücumçuya fayl sistemindən ixtiyari faylları oxumağa imkan verir. Təsirlənmiş emal edicilər istifadəçi tərəfindən idarə olunan fayl adı parametrini qəbul edir və `os.path.join()` istifadə edərək fayl sistemi yolları qurur. Mütləq yol verildikdə Python konfiqurasiya edilmiş media qovluğunu nəzərə almır və hücumçunun təqdim etdiyi yolu birbaşa qaytarır. Sonra tətbiq müvafiq təhlükəsizlik yoxlamalarını əvəz etməklə Tornado-nun daxili yol validasiyasından yan keçir. Nəticədə hücumçu motionEye prosesinin icazələri çərçivəsində konfiqurasiya edilmiş kamera media qovluğundan kənarda olan fayllara çıxış əldə edə bilər. 0.44.0 versiyası bu problemi aradan qaldırır.
Necə düzəltmək olar
- motioneye0.44.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| motioneyePyPI | v < 0.44.0 | 0.44.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.