motionEye 多重漏洞补丁：路径遍历、未授权API访问及RCE修复

漏洞概述 CVE-2026-46488 CVE-2026-55863 CVE-2026-32315 CVE-2026-31978 CVE-2026-55488 这些漏洞的组合允许攻击者进行多种攻击，每个步骤都已得到缓解。 影响范围 CVE-2026-46488 和 CVE-2026-31978：涉及路径遍历漏洞，可能导致未授权访问敏感文件。 CVE-2026-55863：涉及API认证问题，可能导致未授权访问API。 CVE-2026-32315：涉及配置文件读取权限问题，可能导致敏感信息泄露。 CVE-2026-55488：涉及输入验证问题，可能导致命令注入或其他安全漏洞。 修复方案 1. 路径遍历漏洞（CVE-2026-46488 和 CVE-2026-31978） - 任何文件或目录路径通过API请求或内部传递时，如果包含遍历路径元素，将返回403响应或异常。 - 修复代码： 2. API认证问题（CVE-2026-55863） - 签名认证方法已替换为会话cookie。使用API时，需要通过POST请求到 API，使用 和 作为POST数据参数。如果凭据正确，将返回会话cookie，需要将其与实际的API请求一起发送。 - 修复代码： 3. 配置文件读取权限问题（CVE-2026-32315） - 配置文件现在使用600 UNIX模式创建和存储，以防止除motionEye守护进程用户和root之外的任何人读取。 - 修复代码： 4. 输入验证问题（CVE-2026-55488） - 后端输入路径验证已扩展，以防止任何类型的转义摄像头数据目录。 - 修复代码： 其他重要更新 会话cookie认证：使用会话cookie进行API认证，替代了原有的签名认证方法。 HMAC认证：为远程motionEye摄像头添加了HMAC认证方法，生成签名时需要提供专用密钥、请求URL、nonce和时间戳。 HTTP基本认证选项移除：已移除HTTP基本认证选项。 密码强制加密：所有用户的密码现在强制使用Argon2哈希存储，SHA1哈希和明文密码仍可使用，但会在登录时自动迁移。 action API认证：action API现在需要认证。 S3上传改进：S3上传现在支持带和不带路径元素的文件名，并且“Include Subdirectories”滑块有实际效果。 异常处理：远程motionEye实例不响应HTTP请求的情况已正确处理。 SSE-C服务器端加密：定义了base64编码的密钥。 摄像头标记：摄像头现在可以标记为仅管理员可见，隐藏了从正常/监视用户GUI中访问，需要管理员凭据才能访问其API。 picture/ID/current API修复：修复了请求中未包含 （默认10秒）的情况。 Python 3.14兼容性：已修复。 摄像头流媒体访问：通过摘要认证启用摄像头流媒体访问已修复。 流媒体访问：不再自动通过正常/监视用户凭据进行流媒体访问，需要为每个流媒体摄像头单独输入用户名和密码。 CI/CD测试：CI/CD测试已加固和扩展，应用了某些编码标准和打字检查。 前端清理：前端进行了重大清理，移除了过时的脚本，更新了所有其他脚本，更新或切换到vanilla JavaScript，并合并了一些前端输入验证器以减少事件监听器数量。 RTSP网络摄像头密码：包含特殊字符的密码和用户名不再导致认证问题。 配置文件权限：配置文件现在使用600 UNIX模式创建和存储。 路径遍历防护：任何文件或目录路径通过API请求或内部传递时，如果包含遍历路径元素，将返回403响应或异常。 输入路径验证：后端输入路径验证已扩展，以防止任何类型的转义摄像头数据目录。 备份恢复限制：备份恢复功能仅限于那些由Web界面实际生成的配置文件，如 、 、 和 。从控制台创建的旧备份（如 和摄像头动作脚本）不包括在内，也不会再恢复。 新摄像头凭据更改对话框：添加了新按钮和对话框以更改网络摄像头的凭据，包括简单MJPEG摄像头和远程motionEye摄像头。如果连接到远程motionEye摄像头失败，对话框会自动弹出，简化了新远程/客户端密钥的应用。 密码更改问题：解决了在设置面板中更改密码时，无需手动输入输入框的问题，例如通过密码管理器自动填充。 摄像头占位符图标：摄像头占位符图标的宽高比已修复。 管理员用户名更改：管理员用户名现在可以在设置面板中更改。 摄像头名称在媒体文件名中使用：摄像头名称现在可以在媒体文件名中使用。 文件类型和路径检查：文件类型和路径现在检查得更严格，以确保只有真实文件被提取到配置目录的根目录， nowhere else。 .mjpg文件处理：摄像头媒体目录中的.mjpg文件不再被视为电影文件，用于预览生成、清理和类似任务。可用motionEye选项当前不生成这些文件，但使用自定义设置、手动转换、从其他地方复制的媒体文件，情况通常是可能的。 预览图像生成：现在为持续时间少于4秒的电影文件生成预览图像。 翻译更新：更新了多种语言的翻译，并初步添加了保加利亚语。 贡献者 贡献者包括：webale, pboull, 和其他7位贡献者。 资产 所有反应：92人点赞。 总结 此版本（0.44.0）关闭了多个安全漏洞，包括路径遍历、API认证、配置文件读取权限和输入验证问题。修复方案包括使用会话cookie进行API认证、添加HMAC认证、移除HTTP基本认证、强制密码加密、改进S3上传、正确处理异常、标记摄像头、修复API请求、提高Python 3.14兼容性、改进流媒体访问、加固CI/CD测试、清理前端、处理RTSP网络摄像头密码、限制配置文件权限、防护路径遍历、扩展输入路径验证、限制备份恢复、添加新摄像头凭据更改对话框、解决密码更改问题、修复摄像头占位符图标、更改管理员用户名、使用摄像头名称在媒体文件名中、严格检查文件类型和路径、处理.mjpg文件、生成预览图像和更新翻译。

目标达成感谢每一位支持者 — 我们达成了 100% 目标！

motionEye 多重漏洞补丁：路径遍历、未授权API访问及RCE修复

同源更多文章

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

motionEye 多重漏洞补丁：路径遍历、未授权API访问及RCE修复

同源更多文章

目标达成感谢每一位支持者 — 我们达成了 100% 目标！