CVE-2026-71203
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
W changedetection.io zasoby API REST są chronione dekoratorem @auth.check_token, który weryfikuje nagłówek x-api-key, z wyjątkiem zasobu Spec zarejestrowanego pod /api/v1/full-spec, którego metoda get nie ma ani @auth.check_token, ani @validate_openapi_request.
Ocena ryzyka
Nieuwierzytelniony atakujący może uzyskać dostęp do pełnej specyfikacji API, co może ujawnić szczegóły techniczne i ułatwić dalsze ataki.
Rekomendacja
Dodaj dekorator @auth.check_token do metody get zasobu Spec oraz rozważ dodanie walidacji OpenAPI.
Inne podatności w changedetection.io
Zobacz wszystkie- CVE-2026-43891Wysokie
W narzędziu do wykrywania zmian na stronach internetowych changedetection.io przed wersją 0.55.1 występuje podatność związana z zaufaniem do ścieżek zrzutów kontrolowanych przez atakującego, które są przywracane z plików kopii zapasowej. Podczas przywracania kopii zapasowej, aplikacja może przywrócić złośliwe pliki, w tym history.txt, co prowadzi do ujawnienia zawartości lokalnych plików.
- CVE-2026-41895Wysokie
W wersjach 0.54.9 i wcześniejszych narzędzie changedetection.io przełącza się w tryb XML dla treści XML/RSS, co prowadzi do potencjalnych problemów z bezpieczeństwem związanych z przetwarzaniem niezaufanych danych XML.
- CVE-2026-71205Średnie
Trasa /login w changedetection.io sprawdza podane hasło względem pojedynczego hasha PBKDF2-HMAC-SHA256 bez ograniczania szybkości na IP lub sesję, licznika nieudanych prób ani blokady (brak biblioteki rate-limiting w requirements.txt).
- CVE-2026-71204Średnie
W changedetection.io procedura zapisu ustawień w /settings tworzy słownik aktualizacji z danych formularza i bezwarunkowo scala go z zapisanymi ustawieniami aplikacji za pomocą metody .update.
- CVE-2026-35000Średnie
Podatność w ChangeDetection.io przed wersją 0.54.7 pozwala na ominięcie zabezpieczeń w parserze SafeXPath3Parser. Atakujący może odczytać dowolne pliki lokalne za pomocą nieblokowanych funkcji XPath 3.0/3.1, takich jak json-doc().
Oryginalny opis (angielski, źródło NVD)
changedetection.io's REST API resources are protected by an @auth.check_token decorator validating the caller's x-api-key header, except the Spec resource registered at /api/v1/full-spec (changedetectionio/api/Spec.py), whose get method carries neither @auth.check_token nor @validate_openapi_request.