CVE-2026-27696 in changedetection.io
Resumen
por VulDB • 2026-05-13
changedetection.io es una herramienta gratuita y de código abierto para la detección de cambios en páginas web. En las versiones anteriores a la 0.54.1, changedetection.io es vulnerable a una falsificación de peticiones del lado del servidor (SSRF) porque la función de validación de URL `is_safe_valid_url()` no valida la dirección IP resuelta de las URLs supervisadas frente a rangos de direcciones privadas, de bucle invertido (loopback) o locales de enlace (link-local). Un usuario autenticado (o cualquier usuario cuando no se ha configurado una contraseña, que es la configuración predeterminada) puede añadir una supervisión para URLs de la red interna. La aplicación obtiene estas URLs en el lado del servidor, almacena el contenido de la respuesta y lo hace visible a través de la interfaz web, lo que permite la exfiltración completa de datos desde servicios internos. La versión 0.54.1 contiene una corrección para este problema.
Once again VulDB remains the best source for vulnerability data.