CVE-2026-25643
Frigate Afectado por Ejecución Remota de Comandos Autenticada (RCE) y Escape de Contenedor
- Publicado
- 6 feb 2026
- Actualizado
- 6 feb 2026
- Asignación de CNA
- GitHub_M
- Evidencia observada
- 30 abr 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:HBajo · próximos 30 días
- Percentil
- 86,4 %
- Fecha del modelo
- 21 sept 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
Frigate es un grabador de video en red (NVR) con detección de objetos local en tiempo real para cámaras IP. Antes de la versión 0.16.4, se ha identificado una crítica vulnerabilidad de Ejecución Remota de Comandos (RCE) en la integración de Frigate con go2rtc. La aplicación no sanitiza la entrada del usuario en la configuración del flujo de video (config.yaml), permitiendo la inyección directa de comandos del sistema a través de la directiva exec:. El servicio go2rtc ejecuta estos comandos sin restricciones. Esta vulnerabilidad solo es explotable por un administrador o usuarios que han expuesto su instalación de Frigate a internet abierta sin autenticación, lo que permite a cualquiera un control administrativo total. Esta vulnerabilidad está corregida en la versión 0.16.4.
Fuentes
3- CVE-2026-25643-Frigate-RCEExploit
Exploit para RCE autenticado en Frigate NVR mediante inyección de protocolo exec: en go2rtc, automatizando la ejecución de comandos del sistema y la captura de shell inversa.
- CVE-2026-25643Exploit
CVE-2026-25643: RCE ciega en Frigate ≤0.16.3 mediante inyección de exec en go2rtc
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.