CVE-2024-29192

go2rtc bir kamera akış uygulamasıdır. 1.8.5 ve önceki sürümler Siteler Arası İstek Sahteciliği'ne (CSRF) karşı savunmasızdır. `/api/config` uç noktası, mevcut yapılandırmanın kullanıcı tarafından sağlanan değerlerle değiştirilmesine izin verir. API yalnızca localhost'un kimlik doğrulaması olmadan etkileşime girmesine izin verse de, bir saldırgan go2rtc'nin üst akıştaki uygulamada nasıl kurulduğuna bağlı olarak bunu başarabilir ve bu uç nokta CSRF'ye karşı korunmadığı için herhangi bir kaynaktan gelen isteklere (örneğin bir "drive-by" saldırısı) izin verir. `exec` işleyicisi, herhangi bir akışın rastgele komutlar yürütmesine olanak tanır. Bir saldırgan, `api/config` üzerinden özel bir akış ekleyebilir ve bu durum rastgele komut çalıştırılmasına yol açabilir. Mağdurun söz konusu sunucuyu ziyaret etmesi durumunda, tarayıcısı go2rtc örneğine karşı istekleri yürütecektir. 8793c3636493c5efdda08f3b5ed5c6e1ea594fd9 commit'i güvenli API erişimi hakkında bir uyarı ekler.