CVE-2026-71204 in Changedetection.io
요약
\~에 의해 VulDB • 2026. 08. 05.
changedetection.io의 /settings 저장 핸들러는 form.data['application']에서 업데이트 딕셔너리를 생성하고 .update()를 통해 기존 애플리케이션 설정에 블라인드 병합합니다. WTForms가 체크박스가 선택되지 않은 상태를 '변경 없음'이 아닌 False로 표현하기 때문에, 이 문제에 대해 특별히 처리된 필드는 'password'뿐입니다. 따라서 api_access_token_enabled 필드를 생략한 POST 요청(예: 최소한의 스크립트화된 요청)을 보내면 REST API 전체에 대한 API 키 강제 적용이 조용히 비활성화되어, 인증되지 않은 요청으로부터 전체 감시 목록(watch list), 기록(history), 그리고 구성(configuration)이 노출됩니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.