CVE-2026-71204

Nome do Software Vulnerável e Versões Afetadas changedetection.io (versões afetadas não especificadas)

Descrição O manipulador de salvamento do endpoint /settings cria um dicionário de atualização a partir de form.data['application'] e o mescla nas configurações armazenadas do aplicativo via método .update(). Como o WTForms representa caixas de seleção desmarcadas como False em vez de inalteradas, e apenas o campo password é tratado especificamente contra esse problema, uma requisição POST para /settings que omita a variável api access token enabled desativa silenciosamente a imposição de chaves de API. Isso expõe a lista de monitoramento completa, o histórico e a configuração da REST API a requisições não autenticadas.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.