CVE-2026-27696 in changedetection.io
Résumé
par VulDB • 09/06/2026
changedetection.io est un outil gratuit et open source de détection des modifications de pages Web. Dans les versions antérieures à la 0.54.1, changedetection.io présente une vulnérabilité de Server-Side Request Forgery (SSRF) car la fonction de validation d'URL `is_safe_valid_url()` ne valide pas l'adresse IP résolue des URL surveillées par rapport aux plages d'adresses privées, en boucle locale ou link-local. Un utilisateur authentifié (ou tout utilisateur lorsqu'aucun mot de passe n'est configuré, ce qui est le cas par défaut) peut ajouter une surveillance pour les URLs du réseau interne. L'application récupère ces URL côté serveur, stocke le contenu de la réponse et le rend visible via l'interface Web — permettant ainsi un exfiltration complète des données depuis les services internes. La version 0.54.1 contient une correction pour ce problème.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.