CVE-2026-31978

Nome do Software Vulnerável e Versões Afetadas motionEye versão 0.43.1

Description Um problema de travessia de caminho absoluto (path traversal) existe nos endpoints de API de imagens e filmes, como '/picture/{id}/preview/{filename}'. A falha ocorre porque os manipuladores de API e as funções get media preview() e del media content() em mediafiles.py não validam o parâmetro filename em busca de sequências ... Isso permite que um usuário autenticado com privilégios normais leia arquivos arbitrários do sistema de arquivos como o usuário do processo motionEye. A exploração requer o uso de barras codificadas como %2F, que são passadas sem tratamento para o os.path.join() pelo roteador de URL do Tornado.

Recommendations Como medida paliativa temporária, restrinja o acesso ao endpoint de API '/picture/{id}/preview/{filename}' para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.