CVE-2026-31978

motionEye (mEye), hareket algılamalı bir video gözetleme programı olan motion yazılımı için çevrimiçi bir arayüzdür. 0.44.0 öncesindeki sürümler, /picture/{id}/preview/{filename} gibi resim ve film API uç noktalarında dizin gezginliği (path traversal) zafiyetine sahiptir. get_media_content() dışındaki API işleyicileri veya get_media_preview() gibi mediafiles.py fonksiyonları, filename parametresinde .. dizilerini kontrol etmemektedir. Bu durum, normal (yönetici olmayan) ayrıcalıklara sahip kimliği doğrulanmış bir kullanıcının; /etc/passwd, /etc/shadow, parola özetleri ve açık metin parolaları içeren motionEye yapılandırma dosyaları, SSH anahtarları ve diğer kameraların gözetleme görüntüleri gibi rastgele dosyaları motionEye işlem kullanıcısı olarak dosya sisteminden okumasına olanak tanır. Bu sorun 0.44.0 sürümünde düzeltilmiştir.