Frigate — это сетевой видеорегистратор (NVR) с обнаружением локальных объектов в реальном времени для IP-камер. Версии до 0.17.0-beta1 позволяют любому авторизованному пользователю менять свой пароль без проверки текущего пароля через конечную точку /users/{username}/password. Изменение пароля не делает недействительными существующие токены JWT, и проверка надежности пароля не производится.
Если злоумышленник получает действительный токен сеанса (например, посредством случайно раскрытого JWT, украденного файла cookie, XSS, взломанного устройства или перехвата HTTP), он может изменить пароль жертвы и получить постоянный контроль над учетной записью. Поскольку изменение пароля не делает недействительными существующие токены JWT, перехваты сеансов сохраняются даже после сброса пароля. Кроме того, отсутствие проверки надежности пароля подвергает учетные записи атакам методом перебора.
Эта проблема решена в версии 0.17.0-beta1.
Показать оригинальное описание (EN)
Frigate is a network video recorder (NVR) with realtime local object detection for IP cameras. Versions prior to 0.17.0-beta1 allow any authenticated user to change their own password without verifying the current password through the /users/{username}/password endpoint. Changing a password does not invalidate existing JWT tokens, and there is no validation of password strength. If an attacker obtains a valid session token (e.g., via accidentally exposed JWT, stolen cookie, XSS, compromised device, or sniffing over HTTP), they can change the victim’s password and gain permanent control of the account. Since password changes do not invalidate existing JWT tokens, session hijacks persist even after a password reset. Additionally, the lack of password strength validation exposes accounts to brute-force attacks. This issue has been resolved in version 0.17.0-beta1.
Характеристики атаки
Последствия
Строка CVSS v4.0
Тип уязвимости (CWE)
Уязвимые продукты 1
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Frigate Frigate
cpe:2.3:a:frigate:frigate:*:*:*:*:*:*:*:*
|
— |
0.17.0
|