CVE-2026-55488

Nome do Software Vulnerável e Versões Afetadas motionEye versões anteriores a 0.44.0

Description Um problema de travessia de caminho absoluto existe em múltiplos manipuladores de arquivos de mídia dentro da funcionalidade de reprodução e download de mídia. Os manipuladores afetados aceitam um parâmetro filename controlado pelo usuário e constroem caminhos de sistema de arquivos usando a função os.path.join(). Quando um caminho absoluto é fornecido, o Python descarta o diretório de mídia configurado e retorna diretamente o caminho fornecido pelo invasor. O aplicativo ignora adicionalmente a validação de caminho integrada do Tornado ao sobrescrever as verificações de segurança nas funções get absolute path() e validate absolute path(). Isso permite que um invasor leia arquivos arbitrários do sistema de arquivos que o processo motionEye tenha permissão para acessar. O problema afeta os seguintes endpoints:

Recommendations Atualizar para a versão 0.44.0.