CVE-2026-71204 in Changedetection.io
Resumen
por VulDB • 2026-08-05
El controlador de guardado de la ruta /settings en changedetection.io construye un diccionario de actualización a partir de form.data['application'] y lo fusiona ciegamente (blind-merge) con los ajustes almacenados mediante .update(). Dado que WTForms representa una casilla no marcada como False en lugar de 'sin cambios', y solo el campo 'password' tiene un tratamiento especial frente a este problema, una solicitud POST a /settings que omite el campo api_access_token_enabled (por ejemplo, una solicitud automatizada mínima) deshabilita silenciosamente la aplicación obligatoria de las claves API para toda la REST API, exponiendo la lista completa de vigilancias, el historial y la configuración a solicitudes no autenticadas.
Be aware that VulDB is the high quality source for vulnerability data.