Podatności changedetection.io

W narzędziu do wykrywania zmian na stronach internetowych changedetection.io przed wersją 0.55.1 występuje podatność związana z zaufaniem do ścieżek zrzutów kontrolowanych przez atakującego, które są przywracane z plików kopii zapasowej. Podczas przywracania kopii zapasowej, aplikacja może przywrócić złośliwe pliki, w tym history.txt, co prowadzi do ujawnienia zawartości lokalnych plików.

W wersjach 0.54.9 i wcześniejszych narzędzie changedetection.io przełącza się w tryb XML dla treści XML/RSS, co prowadzi do potencjalnych problemów z bezpieczeństwem związanych z przetwarzaniem niezaufanych danych XML.

Podatność w Changedetection.io do wersji 0.55.8. Dotyczy funkcji setCurrentSelectedText w pliku changedetectionio/static/js/visual-selector.js komponentu Visual Selector. Manipulacja argumentem s może prowadzić do cross site scripting (XSS). Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony i może być wykorzystany. Aktualizacja do wersji 0.60.1 rozwiązuje problem. Poprawka nosi nazwę aac6fcfa594f17511b8ff73e5eaa4f6c33899de0.

W dgtlmoon changedetection.io do wersji 50389b07 wykryto podatność w funkcji add_watch_ui_snapshot w pliku changedetectionio/blueprint/add_watch_ui/__init__.py w komponencie Preview Endpoint. Manipulacja argumentem url prowadzi do podatności server-side request forgery (SSRF), a atak można zainicjować zdalnie. Exploit został upubliczniony i może być wykorzystany; aktualizacja do wersji 0.60.1 rozwiązuje problem (patch 71d332d5a0d3da2a0fe89a392413bf4b7d27c84e).

W aplikacji changedetection.io do wersji 0.60.7 wykryto podatność typu path traversal w funkcji static_content w pliku changedetectionio/flask_app.py, w komponencie visual_selector_data. Manipulacja argumentem filename pozwala na przeprowadzenie ataku zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.

changedetection.io do wersji 0.60.7 zawiera podatność path traversal w funkcji static_content w pliku changedetectionio/flask_app.py w komponencie Screenshot Handler. Manipulacja argumentem filename pozwala na zdalne przeprowadzenie ataku o wysokiej złożoności i trudnej eksploatacji. Exploit został opublikowany, ale producent nie odpowiedział na zgłoszenie.

W aplikacji changedetection.io (do wersji 0.60.7) wykryto podatność w funkcji check_authentication w pliku changedetectionio/flask_app.py, w komponencie Authentication Hook. Błędna walidacja prowadzi do nieprawidłowego uwierzytelnienia, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany; producent nie odpowiedział na zgłoszenie.

changedetection.io do wersji 0.60.7 zawiera podatność polegającą na obserwowalnej różnicy czasowej w funkcji check_password w changedetectionio/flask_app.py w komponencie Hash Comparison. Atak może być przeprowadzony zdalnie, wymaga wysokiej złożoności i jest trudny do wykorzystania. Exploit został opublikowany, a producent nie odpowiedział.

changedetection.io do wersji 0.60.6 nie waliduje akcji Goto URL w krokach przeglądarki, co pozwala nieuwierzytelnionym atakującym na dostęp do adresów wewnętrznych. Atakujący może podać dowolne wewnętrzne adresy URL w parametrze optional_value, aby uzyskać odpowiedzi z ograniczonych lokalizacji sieciowych.

changedetection.io do wersji 0.60.6 nie ucieka tytułu strony w powiadomieniach HTML, co pozwala na wstrzyknięcie dowolnego znacznika. Atakujący mogą umieścić złośliwy znacznik w tytułach monitorowanych stron, który trafia do kanałów powiadomień, takich jak e-mail i Telegram, jako żywa treść, gdy używany jest token watch_title w szablonach.

Trasa /login w changedetection.io sprawdza podane hasło względem pojedynczego hasha PBKDF2-HMAC-SHA256 bez ograniczania szybkości na IP lub sesję, licznika nieudanych prób ani blokady (brak biblioteki rate-limiting w requirements.txt).

W changedetection.io procedura zapisu ustawień w /settings tworzy słownik aktualizacji z danych formularza i bezwarunkowo scala go z zapisanymi ustawieniami aplikacji za pomocą metody .update.

W changedetection.io zasoby API REST są chronione dekoratorem @auth.check_token, który weryfikuje nagłówek x-api-key, z wyjątkiem zasobu Spec zarejestrowanego pod /api/v1/full-spec, którego metoda get nie ma ani @auth.check_token, ani @validate_openapi_request.

Podatność w ChangeDetection.io przed wersją 0.54.7 pozwala na ominięcie zabezpieczeń w parserze SafeXPath3Parser. Atakujący może odczytać dowolne pliki lokalne za pomocą nieblokowanych funkcji XPath 3.0/3.1, takich jak json-doc().