CVE-2026-25643: Frigate NVR - injeção de comandos do sistema via diretiva exec do go2rtc

Visão geral

O Frigate é um gravador de vídeo em rede com detecção local de objetos para câmeras IP. De acordo com o aviso do GitHub referenciado no registro, versões anteriores à 0.16.4 contêm uma falha crítica de injeção de comandos na integração com o go2rtc, componente responsável pelo streaming. Valores fornecidos pelo usuário na configuração de fluxos de vídeo (config.yaml) não são sanitizados, de modo que entradas elaboradas podem ser interpretadas como comandos do sistema por meio da diretiva exec.

Impacto

O registro atribui pontuação base CVSS 3.1 de 9.1 (crítica), com alto impacto na confidencialidade, integridade e disponibilidade, além de mudança de escopo.
Uma exploração bem-sucedida permitiria a execução de comandos do sistema operacional sem restrições por meio do serviço go2rtc, conforme descrito no resumo do aviso.
A descrição indica que a falha pode ser explorada por um administrador ou por qualquer pessoa que tenha exposto uma instalação à internet sem autenticação, o que concederia controle administrativo total.

Produtos e versões afetadas

O registro indica o produto Frigate, com versões anteriores à 0.16.4 afetadas.
O registro informa que o problema está corrigido na versão 0.16.4. A lista estruturada de correções está vazia, então as notas de versão vinculadas nas referências são a única referência de correção disponível no registro.

Status de exploração

O registro mostra que esta CVE não consta no catálogo KEV da CISA, portanto não há relato de exploração ativa por essa fonte. Nenhuma exploração confirmada aparece nas fontes consultadas. A referência do aviso do GitHub traz a marcação Exploit no registro, mas seu conteúdo não foi analisado além dessa marcação. A probabilidade EPSS do registro é uma estimativa estatística e não é evidência de exploração.

Correção e mitigação

Atualize o Frigate para a versão 0.16.4 ou superior, conforme indicado na versão referenciada no registro.
Enquanto a atualização não for aplicada, não exponha a interface do Frigate diretamente à internet e exija autenticação em todos os caminhos de acesso.
Restrinja as contas administrativas a pessoal de confiança e controle quem pode editar o arquivo de configuração.
Revise a configuração de fluxos do go2rtc em busca de entradas que não tenham sido incluídas por administradores.

Orientações de detecção

Audite o config.yaml e as definições de fluxo em busca de diretivas exec ou entradas desconhecidas.
Analise os logs de acesso em busca de requisições não autenticadas à interface web do Frigate vindas de endereços externos.
Confirme a versão instalada e identifique instâncias com versão anterior à 0.16.4.

Limitações das informações disponíveis

O registro não descreve o formato exato da entrada, a causa raiz técnica no código nem o número de instalações expostas.
O registro não informa se a autenticação está habilitada por padrão nas versões afetadas.
O registro não contém detalhes de prova de conceito, e esta análise não acrescenta nenhum.
Informações além do resumo do aviso e da versão vinculada não estavam disponíveis no registro.

Perguntas frequentes

Quais versões do Frigate são afetadas pela CVE-2026-25643?

O registro indica como afetadas as versões do Frigate anteriores à 0.16.4, e afirma que o problema está corrigido na 0.16.4.

Há confirmação de exploração ativa desta vulnerabilidade?

O registro mostra que a CVE não consta no KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas. A estimativa EPSS presente no registro não é evidência de exploração.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.