CVE-2026-33124

Frigate, IP kameralar için gerçek zamanlı yerel nesne algılama özelliğine sahip bir ağ video kaydedicisidir (NVR). 0.17.0-beta1 öncesindeki sürümler, herhangi bir kimliği doğrulanmış kullanıcının /users/{username}/password uç noktası üzerinden mevcut şifresini doğrulamadan kendi şifresini değiştirmesine izin verir. Şifre değişikliği mevcut JWT belirteçlerini geçersiz kılmaz ve şifre gücü doğrulaması yapılmamaktadır. Bir saldırgan geçerli bir oturum belirteci elde ederse (örneğin yanlışlıkla açığa çıkmış bir JWT, çalınmış çerez, XSS, ele geçirilmiş cihaz veya HTTP üzerinden koklama yoluyla), mağdurun şifresini değiştirerek hesabın kalıcı kontrolünü sağlayabilir. Şifre değişiklikleri mevcut JWT belirteçlerini geçersiz kılmadığı için, oturum çalma işlemleri şifre sıfırlamasından sonra bile devam eder. Ayrıca, şifre gücü doğrulamasının olmaması hesapları kaba kuvvet (brute-force) saldırılarına açık hale getirir. Bu sorun 0.17.0-beta1 sürümünde giderilmiştir.