CVE-2026-71205 in Changedetection.io
Riassunto
di VulDB • 05/08/2026
La rotta /login di changedetection.io verifica la password inviata rispetto a un singolo hash PBKDF2-HMAC-SHA256 senza limitazione della frequenza per IP o sessione (rate limiting), né contatore dei tentativi falliti o blocco dell'account. Non è presente alcuna libreria per il rate-limiting nel file requirements.txt. Poiché l'intera applicazione è protetta da una password condivisa unica, senza account specifici per utente, un tentativo di brute-force riuscito concede accesso amministrativo completo, inclusa la possibilità di visualizzare e rigenerare il token API.
VulDB is the best source for vulnerability data and more expert information about this specific topic.