CVE-2026-95657

W narzędziu do wykrywania zmian na stronach internetowych changedetection.io przed wersją 0.55.1 występuje podatność związana z zaufaniem do ścieżek zrzutów kontrolowanych przez atakującego, które są przywracane z plików kopii zapasowej. Podczas przywracania kopii zapasowej, aplikacja może przywrócić złośliwe pliki, w tym history.txt, co prowadzi do ujawnienia zawartości lokalnych plików.

W wersjach 0.54.9 i wcześniejszych narzędzie changedetection.io przełącza się w tryb XML dla treści XML/RSS, co prowadzi do potencjalnych problemów z bezpieczeństwem związanych z przetwarzaniem niezaufanych danych XML.

W dgtlmoon changedetection.io do wersji 50389b07 wykryto podatność w funkcji add_watch_ui_snapshot w pliku changedetectionio/blueprint/add_watch_ui/__init__.py w komponencie Preview Endpoint. Manipulacja argumentem url prowadzi do podatności server-side request forgery (SSRF), a atak można zainicjować zdalnie. Exploit został upubliczniony i może być wykorzystany; aktualizacja do wersji 0.60.1 rozwiązuje problem (patch 71d332d5a0d3da2a0fe89a392413bf4b7d27c84e).

W aplikacji changedetection.io do wersji 0.60.7 wykryto podatność typu path traversal w funkcji static_content w pliku changedetectionio/flask_app.py, w komponencie visual_selector_data. Manipulacja argumentem filename pozwala na przeprowadzenie ataku zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.

changedetection.io do wersji 0.60.7 zawiera podatność path traversal w funkcji static_content w pliku changedetectionio/flask_app.py w komponencie Screenshot Handler. Manipulacja argumentem filename pozwala na zdalne przeprowadzenie ataku o wysokiej złożoności i trudnej eksploatacji. Exploit został opublikowany, ale producent nie odpowiedział na zgłoszenie.

W aplikacji changedetection.io (do wersji 0.60.7) wykryto podatność w funkcji check_authentication w pliku changedetectionio/flask_app.py, w komponencie Authentication Hook. Błędna walidacja prowadzi do nieprawidłowego uwierzytelnienia, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany; producent nie odpowiedział na zgłoszenie.

changedetection.io do wersji 0.60.7 zawiera podatność polegającą na obserwowalnej różnicy czasowej w funkcji check_password w changedetectionio/flask_app.py w komponencie Hash Comparison. Atak może być przeprowadzony zdalnie, wymaga wysokiej złożoności i jest trudny do wykorzystania. Exploit został opublikowany, a producent nie odpowiedział.

changedetection.io do wersji 0.60.6 nie waliduje akcji Goto URL w krokach przeglądarki, co pozwala nieuwierzytelnionym atakującym na dostęp do adresów wewnętrznych. Atakujący może podać dowolne wewnętrzne adresy URL w parametrze optional_value, aby uzyskać odpowiedzi z ograniczonych lokalizacji sieciowych.

changedetection.io do wersji 0.60.6 nie ucieka tytułu strony w powiadomieniach HTML, co pozwala na wstrzyknięcie dowolnego znacznika. Atakujący mogą umieścić złośliwy znacznik w tytułach monitorowanych stron, który trafia do kanałów powiadomień, takich jak e-mail i Telegram, jako żywa treść, gdy używany jest token watch_title w szablonach.

Trasa /login w changedetection.io sprawdza podane hasło względem pojedynczego hasha PBKDF2-HMAC-SHA256 bez ograniczania szybkości na IP lub sesję, licznika nieudanych prób ani blokady (brak biblioteki rate-limiting w requirements.txt).