CVE-2026-46488 in MotionEye
Zusammenfassung
von VulDB • 15.09.2026
motionEye (mEye) ist eine Online-Schnittstelle für die Software „motion“, ein Videoüberwachungsprogramm mit Bewegungserkennung. Vor Version 0.44.0 akzeptiert motionEye die clientgesteuerten Cookies `meye_username` und `meye_password_hash` als Authentifizierungsmaterial ohne serverseitige Sitzungsvalidierung. Ein nicht authentisierter Angreifer, der einen Zielbenutzernamen und den entsprechenden Hash kennt, kann die Cookies manuell festlegen oder dazu bringen, dass sie geladen werden, indem er leere Anmeldeinformationen über den „switch-user“-Authentifizierungsfluss einreicht; daraufhin authentifiziert sich der Server als dieser Benutzer. Der Administrator-Benutzername und der Passwort-Hash-Wert sind in `/etc/motioneye/motion.conf` gespeichert, das standardmäßig global lesbar ist, sodass ein lokaler Shell-Nutzer wiederverwendbare Anmeldeinformationen des Administrators erhalten kann. Eine erfolgreiche Identitätsmissbrauchsaktion kann Kontosperrungen, Passwortänderungen und Persistenz ermöglichen sowie die Enumeration von Daten, deren Zerstörung und den Abfluss von Daten (Data Exfiltration) zur Folge haben. Dieses Problem wurde in Version 0.44.0 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.