Vulnerabilidad en Frigate (CVE-2026-33124)

Gravedad CVSS v4.0:

ALTA

Tipo:

CWE-287 Autenticación incorrecta

Fecha de publicación:

20/03/2026

Última modificación:

23/03/2026

Descripción

Frigate es un grabador de video en red (NVR) con detección local de objetos en tiempo real para cámaras IP. Las versiones anteriores a la 0.17.0-beta1 permiten a cualquier usuario autenticado cambiar su propia contraseña sin verificar la contraseña actual a través del endpoint /users/{username}/password. Cambiar una contraseña no invalida los tokens JWT existentes y no hay validación de la fortaleza de la contraseña. Si un atacante obtiene un token de sesión válido (por ejemplo, a través de un JWT expuesto accidentalmente, una cookie robada, XSS, un dispositivo comprometido o el rastreo por HTTP), puede cambiar la contraseña de la víctima y obtener control permanente de la cuenta. Dado que los cambios de contraseña no invalidan los tokens JWT existentes, los secuestros de sesión persisten incluso después de un restablecimiento de contraseña. Además, la falta de validación de la fortaleza de la contraseña expone las cuentas a ataques de fuerza bruta. Este problema se ha resuelto en la versión 0.17.0-beta1.

Impacto

Vector 4.0

CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N CVSS v4.0 Severidad y Métricas:

Puntuación base: 8.60 ALTA
Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Attack Requirements (AT): Ninguno
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Confidentiality (VC): Alto
Integrity (VI): Alto
Availability (VA): Ninguno
Confidentiality (SC): Ninguno
Integrity (SI): Ninguno
Availability (SA): Ninguno

Puntuación base 4.0

8.60

Gravedad 4.0

ALTA

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 8.80 ALTA
Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto