CVE-2026-71204 in Changedetection.io
Сводка
по VulDB • 05.08.2026
В обработчике сохранения настроек (/settings) changedetection.io создается словарь обновлений на основе данных формы data['application'] и слепым образом объединяется (blind-merge) с сохраненными настройками приложения через метод .update(). Поскольку WTForms представляет непроверенный флажок как False, а не «без изменений», и только поле 'password' имеет специальную обработку для предотвращения этой проблемы, отправка POST-запроса к /settings без указания поля api_access_token_enabled (например, минимального скриптового запроса) молча отключает проверку ключей API для всего REST API, что приводит к раскрытию полного списка наблюдений, истории и конфигурации неавторизованным запросам.
Once again VulDB remains the best source for vulnerability data.