Мониторинг Карточка CVE
Открытые данные
К списку уязвимостей
Критический
PoC
Опубликована

CVE-2026-46488

motionEye: Authentication possible via password hash

Публикация: 15.09.2026·Обновлена: 17.09.2026, 19:15·Europe/Moscow

Что произошло

Автоперевод выключен · оригинальное описание

motionEye (mEye) is an online interface for a piece of software called "motion," which is a video surveillance program with motion detection. Prior to 0.44.0, motionEye accepts the client-controlled meye_username and meye_password_hash cookies as authentication material without server-side session validation. An unauthenticated attacker who knows a target username and corresponding hash can set the cookies manually or cause them to be loaded by submitting blank credentials through the switch-user authentication flow, after which the server authenticates the attacker as that user. The administrator username and password-hash value are stored in /etc/motioneye/motion.conf, which is globally readable by default, allowing a local shell user to obtain reusable administrator credential material. Successful impersonation can enable account lockout, password changes and persistence, data enumeration, data destruction, and data exfiltration. This issue is fixed in version 0.44.0.

Что это значит

Проверка личности пользователя может работать неверно. Проверьте затронутый механизм входа и доступные ему ресурсы.

Что делать

Редакционные пояснения, сведения источников и общие рекомендации помечены отдельно
Устранить в течение 24 ч

1. Проверьте, затронуты ли вы

Соберите инвентаризацию и сравните с таблицей затронутых версий. Эти команды только показывают установленные компоненты и сами по себе не доказывают наличие CVE.

Debian / Ubuntu
dpkg-query -W -f='${Package}	${Version}\n'
RHEL / AlmaLinux
rpm -qa --qf '%{NAME}\t%{VERSION}-%{RELEASE}\n'
Windows PowerShell
Get-HotFix | Select-Object HotFixID, InstalledOn
Общая рекомендация, не из бюллетеня вендора

2. Установите исправление

Сверьте точный продукт и версию с бюллетенем вендора. Установите указанное в нём исправление после резервного копирования и проверки совместимости. Подтверждённая целевая версия в источниках отсутствует.

Общая рекомендация, не из бюллетеня вендора

3. Временные меры

До проверки бюллетеня ограничьте доступ к затронутому компоненту доверенными узлами. Оцените сегментацию и отключение ненужных интерфейсов с владельцем сервиса; универсального правила WAF для этой CVE не подтверждено.

Общая рекомендация, не из бюллетеня вендора

4. Проверьте следы эксплуатации

Проверьте аномальные входы, новые учётные записи, ошибки и необычные дочерние процессы в затронутом сервисе. Публичные проверенные правила обнаружения не включены в запись; отсутствие сигналов не доказывает отсутствие компрометации.

Общая рекомендация, не из бюллетеня вендора

5. После исправления

  • Проверьте фактическую версию и результат установки по бюллетеню.
  • При необходимости перезапустите сервисы в согласованное окно.
  • Повторите проверку сканером и функциональные проверки.
  • Зафиксируйте результат, дату, владельца и оставшийся риск.

Продукты и затронутые версии

motioneye-project / motioneye 

{
  "status": "affected",
  "version": "< 0.44.0"
}

motioneye PyPI

{
  "status": "affected",
  "version": "*",
  "versionEndExcluding": "0.44.0"
}

CVSS: оценки и векторы

CVSS 4.0 · cve9.1
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N
AV · Вектор атакисеть
AC · Сложность атакинизкая
AT · Условия атакинужны условия
PR · Привилегиине нужны
UI · Участие пользователяне нужно
VC · Конфиденциальность уязвимой системывысокое
VI · Целостность уязвимой системывысокое
VA · Доступность уязвимой системынет
SC · Конфиденциальность связанной системынет
SI · Целостность связанной системынет
SA · Доступность связанной системынет

Классы CWE

CWE-256 · Простое текстовое хранение пароляCWE-287 · Некорректная аутентификацияCWE-328 · Использование слабого хэшаCWE-836 · Использование хэша паролей вместо пароля для аутентификации

Источники и ссылки

PoC / эксплойт · github.com · cveМатериал · github.com · cveМатериал · github.com · cveМатериал · github.com · cveМатериал · github.com · osvМатериал · pypi.org · osvМатериал · github.com · osvМатериал · nvd.nist.gov · osvCVE Program · www.cve.org · CVE ProgramNVD · nvd.nist.gov · NVD
Происхождение полей
{
  "cwes": [
    "cve"
  ],
  "epss": {
    "source": "epss",
    "received_at": "2026-11-03T21:13:44.217488+00:00"
  },
  "title": {
    "source": "cve",
    "received_at": "2026-10-28T20:31:18.312379+00:00"
  },
  "scores": [
    "cve"
  ],
  "status": {
    "source": "cve",
    "received_at": "2026-10-28T20:31:18.312379+00:00"
  },
  "affected": [
    "cve",
    "osv"
  ],
  "published": {
    "source": "cve",
    "received_at": "2026-10-28T20:31:18.312379+00:00"
  },
  "solutions": [],
  "percentile": {
    "source": "epss",
    "received_at": "2026-11-03T21:13:44.217488+00:00"
  },
  "references": [
    "cve",
    "osv"
  ],
  "description": {
    "source": "cve",
    "received_at": "2026-10-28T20:31:18.312379+00:00"
  },
  "workarounds": [],
  "configurations": []
}

Хронология записи

  1. Данные обновлены04.11.2026, 00:13
  2. Данные обновлены03.11.2026, 00:12
  3. Данные обновлены02.11.2026, 15:12
  4. Данные обновлены02.11.2026, 15:04
  5. Данные обновлены02.11.2026, 00:11
  6. Данные обновлены31.10.2026, 11:58
  7. Данные обновлены29.10.2026, 12:28
  8. Появилась ссылка на PoC28.10.2026, 23:31

Личная заметка и статус

Другие CVE того же продукта

УЯЗВИМОСТЬ / ПРОДУКТПРИОРИТЕТCVSSEPSSСИГНАЛЫОПУБЛИКОВАНАКарточка
CVE-2026-55863
motionEye: Missing authentication on ActionHandler allows unauthenticated camera action execution
motioneye-project / motioneye · motioneye
Высокий5.3
0,5 %
PoC
15.09.2026
CVE-2025-47782
motionEye vulnerable to RCE in add_camera Function Due to unsafe command execution
motioneye-project / motioneye · motioneye
Критический8.9
0,51 %
PoC
14.05.2025
CVE-2026-31978
motionEye: Arbitrary File Read via Path Traversal in Picture/Movie Preview Endpoint
motioneye-project / motioneye · motioneye
Высокий6.5
0,34 %
PoC
24.06.2026
CVE-2026-55488
motionEye's Absolute Path Traversal in Media File Handlers Allows Arbitrary File Read
motioneye-project / motioneye · motioneye
Критический7.7
0,61 %
PoC
24.06.2026
CVE-2026-32315
motionEye: World-Readable Configuration File Exposes Admin Password Hash
motioneye-project / motioneye · motioneye
Высокий5.5
1,68 %
PoC
24.06.2026
CVE-2026-46488: motionEye: Authentication possible via password hash · CVE Радар