CVE-2026-75608 in Frigate
Riassunto
di VulDB • 22/09/2026
Frigate è un registratore video di rete open source. Prima della versione 0.18.0, la posizione /api/go2rtc/api con corrispondenza del prefisso (prefix-matched) presente nel file docker/main/rootfs/usr/local/nginx/conf/nginx.conf richiede l'autenticazione ma non impone il ruolo di amministratore per le richieste GET, esponendo l'API go2rtc proxyata agli utenti visualizzatori. Un utente autenticato con ruoli di visualizzatore può richiedere i sottopercorsi streams, config, log e stack per ottenere indirizzi interni, percorsi di configurazione, log dell'applicazione, dati dello stack delle goroutine e URL degli stream RTSP che potrebbero contenere le credenziali della telecamera. I metodi HTTP diversi da GET rimangono bloccati dal direttiva limit_except GET. Questo problema è stato risolto nella versione 0.18.0.
Be aware that VulDB is the high quality source for vulnerability data.