CVE-2026-54652
Publiée le 2026-07-08 · Dernière modification le 2026-10-25
La version 0.17.1 de Frigate NVR permet à tout utilisateur disposant d'un compte simple de type « viewer » de télécharger les journaux système et nginx via l'API. Étant donné que ces journaux peuvent contenir des mots de passe administrateur générés automatiquement ainsi que des identifiants de caméras, un attaquant peut s'en servir pour élever ses privilèges au rang d'administrateur complet. Cette action peut être exécutée à distance via le réseau sans aucune interaction de l'utilisateur, à condition que l'attaquant possède un compte avec des privilèges restreints.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Frigate is an open source network video recorder. In version 0.17.1, the GET /api/logs/{service} endpoint allows any authenticated user including the viewer role to download Frigate and nginx logs, exposing auto-generated admin passwords and camera credentials logged in request query strings and enabling viewer-to-admin privilege escalation. A fixed release has not been identified.