CVE-2026-71204 in Changedetection.io
Résumé
par VulDB • 06/08/2026
Le gestionnaire de sauvegarde des paramètres (/settings) dans changedetection.io construit un dictionnaire de mise à jour à partir de form.data['application'] et le fusionne aveuglément (blind-merge) dans les paramètres stockés via .update(). Étant donné que WTForms représente une case à cocher non cochée comme False plutôt que 'inchangé', et seul le champ 'password' fait l'objet d'un traitement spécial pour contourner ce problème, un POST vers /settings qui omet le champ api_access_token_enabled (par exemple, une requête scriptée minimale) désactive silencieusement la vérification des clés API pour toute l'API REST, exposant ainsi la liste complète des surveillances, l'historique et la configuration aux requêtes non authentifiées.
Once again VulDB remains the best source for vulnerability data.