Herantong

**Nome do Software Vulnerável e Versões Afetadas** dgtlmoon changedetection.io versões anteriores a 0.60.8 **Descrição** Uma falha no componente Hash Comparison permite um ataque remoto. A função `check password()` no arquivo `changedetectionio/flask app.py` é suscetível à manipulação do argumento `Password`, o que resulta em uma discrepância de tempo observável. Uma discrepância de tempo ocorre quando o tempo necessário para executar uma função varia com base na entrada fornecida, potencialmente permitindo que um invasor deduza informações secretas medindo essas diferenças. **Recomendações** Atualize o dgtlmoon changedetection.io para a versão 0.60.8 ou posterior. Como medida paliativa temporária, restrinja o acesso à função `check password()` para minimizar o risco de exploração.

**Nome do Software Vulnerável e Versões Afetadas** dgtlmoon changedetection.io versões anteriores a 0.60.8 **Description** Um problema no componente Authentication Hook permite a autenticação inadequada. Um invasor remoto pode manipular a função `check authentication()` no arquivo `changedetectionio/flask app.py` para burlar os mecanismos de autenticação. **Recommendations** Atualize o dgtlmoon changedetection.io para uma versão posterior a 0.60.7. Como medida paliativa temporária, restrinja o acesso à função `check authentication()` no arquivo `changedetectionio/flask app.py`.

**Nome do Software Vulnerável e Versões Afetadas** dgtlmoon changedetection.io versões anteriores a 0.60.8 **Description** Um problema de path traversal existe no componente Screenshot Handler, dentro da função `static content()` do arquivo `changedetectionio/flask app.py`. Um invasor remoto pode explorar isso manipulando o argumento `filename` para acessar arquivos fora do diretório pretendido. Este ataque é caracterizado por alta complexidade e dificuldade de exploração. **Recommendations** Atualize o dgtlmoon changedetection.io para uma versão posterior a 0.60.7. Como mitigação temporária, restrinja o acesso à função `static content()` dentro do componente Screenshot Handler.

A vulnerability was determined in dgtlmoon changedetection.io up to 0.60.7. This impacts the function static content of the file changedetectionio/flask app.py of the component visual selector data. Executing a manipulation of the argument filename can lead to path traversal. It is possible to launch the attack remotely. The exploit has been publicly disclosed and may be utilized. Distinct from CVE-2026-25527, which fixed a different parameter (group) in the same function. The vendor was contacted early about this disclosure but did not respond in any way.

A vulnerability was found in dgtlmoon changedetection.io up to 50389b07. This vulnerability affects the function add watch ui snapshot of the file changedetectionio/blueprint/add watch ui/ init .py of the component Preview Endpoint. Performing a manipulation of the argument url results in server-side request forgery. The attack can be initiated remotely. The exploit has been made public and could be used. Upgrading to version 0.60.1 is able to resolve this issue. The patch is named 71d332d5a0d3da2a0fe89a392413bf4b7d27c84e. The affected component should be upgraded. Was fixed upstream.

A vulnerability was determined in dgtlmoon Changedetection.io up to 0.55.8. This issue affects the function setCurrentSelectedText of the file changedetectionio/static/js/visual-selector.js of the component Visual Selector. Executing a manipulation of the argument s can lead to cross site scripting. The attack can be launched remotely. The exploit has been publicly disclosed and may be utilized. Upgrading to version 0.60.1 is capable of addressing this issue. This patch is called aac6fcfa594f17511b8ff73e5eaa4f6c33899de0. It is suggested to upgrade the affected component.