CVE-2026-27696 in changedetection.io
Tóm tắt
Bởi VulDB • 09/06/2026
changedetection.io là một công cụ phát hiện thay đổi trang web mã nguồn mở miễn phí. Trong các phiên bản trước 0.54.1, changedetection.io dễ bị tấn công Server-Side Request Forgery (SSRF) do hàm xác thực URL `is_safe_valid_url()` không kiểm tra địa chỉ IP đã phân giải của các watch URLs so với dải địa chỉ riêng tư, loopback hoặc link-local. Người dùng đã được xác thực (hoặc bất kỳ người dùng nào khi chưa cấu hình mật khẩu – đây là cài đặt mặc định) có thể thêm một watch cho các URL mạng nội bộ. Ứng dụng sẽ truy xuất các URL này ở phía máy chủ, lưu trữ nội dung phản hồi và hiển thị chúng qua giao diện web — cho phép trích xuất dữ liệu hoàn toàn từ các dịch vụ nội bộ. Phiên bản 0.54.1 chứa bản sửa lỗi cho vấn đề này.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.