CVE-2026-33469
Açıklama
Frigate, IP kameralar için gerçek zamanlı yerel nesne algılama özelliğine sahip bir ağ video kaydedicisidir (NVR). 0.17.0 sürümünde, kimliği doğrulanmış yönetici olmayan bir kullanıcı, `/api/config/raw` üzerinden tam ham Frigate yapılandırmasını alabilir. Bu durum; kamera kimlik bilgileri, go2rtc akış kimlik bilgileri, MQTT parolaları, proxy sırları ve `config.yml` dosyasında saklanan diğer tüm sırlar dahil olmak üzere, `/api/config` üzerinden kasıtlı olarak gizlenen hassas değerleri açığa çıkarmaktadır. Bunun, varsayılan olarak yönetici yetkisi veren API yeniden yapılandırmasıyla ortaya çıkan bir hatalı erişim kontrolü sorunu olduğu görülmektedir: `/api/config/raw_paths` yalnızca yöneticilere açıkken, `/api/config/raw` hala kimliği doğrulanmış herhangi bir kullanıcı tarafından erişilebilirdir. 0.17.1 sürümü bir yama içermektedir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| frigate frigate | 0.17.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.