CVE-2026-71204
ŚrednieCVSS 6.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
W changedetection.io procedura zapisu ustawień w /settings tworzy słownik aktualizacji z danych formularza i bezwarunkowo scala go z zapisanymi ustawieniami aplikacji za pomocą metody .update.
Ocena ryzyka
Atakujący może zmodyfikować dowolne ustawienia aplikacji, co może prowadzić do nieautoryzowanych zmian konfiguracji, w tym przejęcia kontroli nad monitorowanymi stronami.
Rekomendacja
Zaimplementuj walidację i białą listę dozwolonych kluczy ustawień oraz rozważ podpisanie lub szyfrowanie danych formularza.
Inne podatności w changedetection.io
Zobacz wszystkie- CVE-2026-43891Wysokie
W narzędziu do wykrywania zmian na stronach internetowych changedetection.io przed wersją 0.55.1 występuje podatność związana z zaufaniem do ścieżek zrzutów kontrolowanych przez atakującego, które są przywracane z plików kopii zapasowej. Podczas przywracania kopii zapasowej, aplikacja może przywrócić złośliwe pliki, w tym history.txt, co prowadzi do ujawnienia zawartości lokalnych plików.
- CVE-2026-41895Wysokie
W wersjach 0.54.9 i wcześniejszych narzędzie changedetection.io przełącza się w tryb XML dla treści XML/RSS, co prowadzi do potencjalnych problemów z bezpieczeństwem związanych z przetwarzaniem niezaufanych danych XML.
- CVE-2026-71205Średnie
Trasa /login w changedetection.io sprawdza podane hasło względem pojedynczego hasha PBKDF2-HMAC-SHA256 bez ograniczania szybkości na IP lub sesję, licznika nieudanych prób ani blokady (brak biblioteki rate-limiting w requirements.txt).
- CVE-2026-71203Średnie
W changedetection.io zasoby API REST są chronione dekoratorem @auth.check_token, który weryfikuje nagłówek x-api-key, z wyjątkiem zasobu Spec zarejestrowanego pod /api/v1/full-spec, którego metoda get nie ma ani @auth.check_token, ani @validate_openapi_request.
- CVE-2026-35000Średnie
Podatność w ChangeDetection.io przed wersją 0.54.7 pozwala na ominięcie zabezpieczeń w parserze SafeXPath3Parser. Atakujący może odczytać dowolne pliki lokalne za pomocą nieblokowanych funkcji XPath 3.0/3.1, takich jak json-doc().
Oryginalny opis (angielski, źródło NVD)
changedetection.io's /settings save handler builds an update dict from form.data['application'] and blind-merges it into the stored application settings via .update.