CVE-2026-25643
Frigate von authentifizierter Remote-Befehlsausführung (RCE) und Container-Escape betroffen
- Veröffentlicht
- 06.02.2026
- Aktualisiert
- 06.02.2026
- CNA zuweisen
- GitHub_M
- Beweise beobachtet
- 30.04.2026
Primäres CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:HNiedrig · nächste 30 Tage
- Perzentil
- 90,7 %
- Modelldatum
- 15.10.2026
EPSS ist eine statistische Schätzung, keine Gewissheit oder ein Maß für die Auswirkung. Kombinieren Sie es mit CVSS, KEV-Status, Belichtung und Ihrer Umgebung.
Zusammenfassung
Frigate ist ein Netzwerk-Videorekorder (NVR) mit Echtzeit-Objekterkennung vor Ort für IP-Kameras. Vor Version 0.16.4 wurde eine kritische Schwachstelle zur Remote-Codeausführung (RCE) in der Integration von Frigate mit go2rtc identifiziert. Die Anwendung bereinigt Benutzereingaben in der Videostream-Konfiguration (config.yaml) nicht, was eine direkte Einschleusung von Systembefehlen über die `exec:`-Direktive ermöglicht. Der go2rtc-Dienst führt diese Befehle ohne Einschränkungen aus. Diese Schwachstelle ist nur durch einen Administrator oder Benutzer ausnutzbar, die ihre Frigate-Installation ohne Authentifizierung dem offenen Internet ausgesetzt haben, was jedem volle administrative Kontrolle gewährt. Diese Schwachstelle ist in 0.16.4 behoben.
Quellen
- CVE-2026-25643-Frigate-RCEExploit
Exploit für Frigate NVR authentifizierte RCE über go2rtc exec: Protokollinjektion, Automatisierung der Ausführung von Systembefehlen und Erfassung einer Reverse Shell.
- CVE-2026-25643Exploit
CVE-2026-25643: Frigate ≤0.16.3 Blind-RCE über go2rtc exec injection
jduardo2704 · multiple · 30.04.2026
Verantwortungsvoller Umgang
Verwenden Sie Schwachstelleninformationen nur auf Systemen, die Sie besitzen oder zu deren Testen Sie berechtigt sind. Kitploit verlinkt auf öffentliche Forschungsmetadaten und speichert keinen Exploit-Code oder bösartige Payloads.