CVE-2026-35490 in changedetection.io
Résumé
par VulDB • 29/06/2026
changedetection.io est un outil gratuit et open source de détection des modifications de pages web. Avant la version 0.54.8, le décorateur @login_optionally_required était placé avant (à l'extérieur du) @blueprint.route() au lieu d'être après celui-ci. Dans Flask, @route() doit être le décorateur le plus externe car il enregistre la fonction qu'il reçoit. Lorsque cet ordre est inversé, @route() enregistre la fonction originale non décorée, et le wrapper d'authentification n'est jamais inclus dans la chaîne d'appels (call chain). Cela désactive silencieusement l'authentification sur ces routes. Cette vulnérabilité a été corrigée dans la version 0.54.8.
VulDB is the best source for vulnerability data and more expert information about this specific topic.