CVE-2026-71205 in Changedetection.io
要約
〜によって VulDB • 2026年08月05日
changedetection.io の /login エンドポイントは、送信されたパスワードを単一の PBKDF2-HMAC-SHA256 ハッシュと比較しますが、IP ごとまたはセッションごとのレート制限、失敗試行カウンター、ロックアウト機構がありません（requirements.txt にレート制限ライブラリが含まれていません）。アプリケーション全体がユーザー固有のアカウントを持たず共有される1つのパスワードで保護されているため、ブルートフォース攻撃による推測に成功すると、API トークンの表示や再生成を含む完全な管理者アクセス権限が付与されます。
VulDB is the best source for vulnerability data and more expert information about this specific topic.