CVE-2026-71205
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
Trasa /login w changedetection.io sprawdza podane hasło względem pojedynczego hasha PBKDF2-HMAC-SHA256 bez ograniczania szybkości na IP lub sesję, licznika nieudanych prób ani blokady (brak biblioteki rate-limiting w requirements.txt).
Ocena ryzyka
Atakujący może przeprowadzić ataki brute-force na hasła bez żadnych ograniczeń, co może prowadzić do przejęcia kont użytkowników i naruszenia poufności danych.
Rekomendacja
Zaktualizuj changedetection.io do wersji z mechanizmem ograniczania szybkości i blokadą po nieudanych próbach. Jeśli to niemożliwe, zastosuj zewnętrzne zabezpieczenia, takie jak firewall aplikacji lub proxy z rate-limiting.
Inne podatności w changedetection.io
Zobacz wszystkie- CVE-2026-43891Wysokie
W narzędziu do wykrywania zmian na stronach internetowych changedetection.io przed wersją 0.55.1 występuje podatność związana z zaufaniem do ścieżek zrzutów kontrolowanych przez atakującego, które są przywracane z plików kopii zapasowej. Podczas przywracania kopii zapasowej, aplikacja może przywrócić złośliwe pliki, w tym history.txt, co prowadzi do ujawnienia zawartości lokalnych plików.
- CVE-2026-41895Wysokie
W wersjach 0.54.9 i wcześniejszych narzędzie changedetection.io przełącza się w tryb XML dla treści XML/RSS, co prowadzi do potencjalnych problemów z bezpieczeństwem związanych z przetwarzaniem niezaufanych danych XML.
- CVE-2026-71204Średnie
W changedetection.io procedura zapisu ustawień w /settings tworzy słownik aktualizacji z danych formularza i bezwarunkowo scala go z zapisanymi ustawieniami aplikacji za pomocą metody .update.
- CVE-2026-71203Średnie
W changedetection.io zasoby API REST są chronione dekoratorem @auth.check_token, który weryfikuje nagłówek x-api-key, z wyjątkiem zasobu Spec zarejestrowanego pod /api/v1/full-spec, którego metoda get nie ma ani @auth.check_token, ani @validate_openapi_request.
- CVE-2026-35000Średnie
Podatność w ChangeDetection.io przed wersją 0.54.7 pozwala na ominięcie zabezpieczeń w parserze SafeXPath3Parser. Atakujący może odczytać dowolne pliki lokalne za pomocą nieblokowanych funkcji XPath 3.0/3.1, takich jak json-doc().
Oryginalny opis (angielski, źródło NVD)
changedetection.io's /login route checks the submitted password against a single PBKDF2-HMAC-SHA256 hash with no per-IP or per-session rate limiting, failed-attempt counter, or lockout (no rate-limiting library is present in requirements.txt).