یک آسیب‌پذیری امنیتی جدید با شناسه CVE-2026-95273 در نرم‌افزار changedetection.io (نسخه‌های تا 0.60.7) شناسایی شده است. این نقص امنیتی از نوع Path Traversal است و به مهاجم اجازه می‌دهد تا به فایل‌هایی خارج از دایرکتوری‌های تعیین‌شده دسترسی پیدا کند.
جزئیات فنی آسیب‌پذیری
این مشکل در تابع static_content در فایل changedetectionio/flask_app.py و در بخش visual_selector_data رخ می‌دهد. مهاجم می‌تواند با دستکاری آرگومان filename، مسیرهای فایل را تغییر داده و منجر به خواندن فایل‌های حساس روی سرور شود.
- نوع دسترسی: برای بهره‌برداری از این نقص، مهاجم باید دارای یک حساب کاربری با سطح دسترسی پایین (Low-privilege account) باشد.
- تاثیرات: این آسیب‌پذیری صرفاً بر روی Confidentiality (محرمانگی) تاثیر می‌گذارد و منجر به خواندن محدود فایل‌ها می‌شود، بدون اینکه به Integrity یا Availability سیستم آسیبی برساند.
- پیچیدگی حمله: سطح پیچیدگی این حمله پایین (Low Complexity) ارزیابی شده و به صورت Remote قابل اجرا است.
وضعیت فعلی و پاسخ سازنده
در حال حاضر کدهای اکسپلویت (Exploit) این آسیب‌پذیری به صورت عمومی منتشر شده است. گزارش‌ها حاکی از آن است که با وجود اطلاع‌رسانی به توسعه‌دهندگان، هنوز پاسخ رسمی یا وصله‌ای (Patch) از سوی سازنده برای رفع این مورد منتشر نشده است. لازم به ذکر است که این آسیب‌پذیری با CVE-2026-25527 متفاوت است، زیرا در آن مورد پارامتر group مورد هدف قرار گرفته بود، اما در اینجا پارامتر filename آسیب‌پذیر است.
