CVE-2026-95272: path traversal в changedetection.io через обработчик скриншотов
В changedetection.io до версии 0.60.7 включительно обнаружена уязвимость обхода пути (path traversal) в функции static_content файла changedetectionio/flask_app.py. Атака возможна удалённо, но требует высокой сложности и специфических условий эксплуатации. Оценка CVSS — 6.3 (MEDIUM), эксплойт уже опубликован публично. Производитель на уведомление не ответил.
Подробности
Уязвимость получила идентификатор CVE-2026-95272 и оценку 6.3 по шкале CVSS (уровень MEDIUM). Затронуты версии dgtlmoon changedetection.io вплоть до 0.60.7 включительно. Тип уязвимости — path traversal (CWE-22): при передаче специально сформированного значения в аргумент filename злоумышленник может выйти за пределы разрешённого каталога и обратиться к файлам, которые не должны быть доступны через обработчик скриншотов. Это потенциально позволяет читать содержимое файловой системы в пределах прав процесса приложения. По заявлению источника, атаку можно инициировать удалённо, однако её сложность оценивается как высокая, а эксплуатируемость — как затруднённая. Это означает, что для успешного использования уязвимости требуются особые условия: определённая конфигурация экземпляра, доступность соответствующих эндпоинтов и корректно подобранные параметры запроса. Публичный эксплойт уже существует и может быть применён на практике, что повышает актуальность своевременного обновления. Отдельно отмечается, что производитель был уведомлён об уязвимости на раннем этапе раскрытия, но не ответил. Соответственно, официальный патч от разработчика на момент публикации записи CVE отсутствует, и полагаться на автоматическое исправление не следует.Что делать
Поскольку вендор не выпустил исправление, рекомендуется применить компенсирующие меры: - Ограничить сетевой доступ к экземплярам changedetection.io: не публиковать сервис в открытый интернет, использовать VPN, reverse proxy с аутентификацией или allow-list по IP. - Проверить, используется ли компонент обработки скриншотов, и при отсутствии необходимости отключить соответствующую функциональность. - Включить аутентификацию и убедиться, что доступ к административным и сервисным эндпоинтам имеют только доверенные пользователи. - Запускать приложение от непривилегированного пользователя и, по возможности, в изолированном контейнере с минимальными правами на файловую систему (read-only там, где это допустимо). - Внимательно отслеживать релизы проекта и установить обновление сразу после выхода версии, устраняющей CVE-2026-95272. - Провести проверку журналов на предмет подозрительных запросов к обработчику скриншотов с параметрами, содержащими последовательности вида «../».Итог
CVE-2026-95272 — умеренно опасная, но трудно эксплуатируемая уязвимость обхода пути в changedetection.io до 0.60.7. Публичное наличие эксплойта и молчание вендора делают ключевой мерой защиту периметра: изоляцию сервиса от внешней сети, ограничение прав и мониторинг подозрительной активности до выхода официального патча.Источник: CVE Project (cvelistV5)