یک آسیب‌پذیری امنیتی از نوع Server-Side Request Forgery (SSRF) با شناسه CVE-2026-95656 در نرم‌افزار changedetection.io شناسایی شده است. این نقص امنیتی در اندپوینت Preview Endpoint و به‌طور مشخص در تابع add_watch_ui_snapshot قرار دارد.
جزئیات فنی و مکانیسم حمله
این آسیب‌پذیری به دلیل اعتبارسنجی ناقص آرگومان url رخ می‌دهد؛ جایی که سیستم تنها پیشوند http یا https را بررسی می‌کند و سایر محدودیت‌ها را نادیده می‌گیرد. در نتیجه، مهاجمان می‌توانند سرور را مجبور کنند تا درخواست‌هایی را به مقاصد دلخواه ارسال کند. این مقاصد شامل موارد زیر است:
- سرویس‌های Loopback (درخواست به خود سرور)
- میزبان‌های RFC1918 (شبکه‌های داخلی)
- آدرس
169.254.169.254که مربوط به متادیتای سرویس‌های ابری (Cloud Metadata) است.
سطح دسترسی و ریسک
از آنجایی که این مسیر تحت کنترل login_optionally_required است، در نصب‌های پیش‌فرضی که رمز عبور برای آن‌ها تعریف نشده است، مهاجم می‌تواند بدون نیاز به احراز هویت (Unauthenticated) این حمله را اجرا کند. در صورتی که مدیر سیستم رمز عبور را فعال کرده باشد، برای بهره‌برداری از این نقص، داشتن اعتبارنامه (Credentials) لازم است.
راهکار رفع مشکل
برای رفع این آسیب‌پذیری، کاربران باید نرم‌افزار changedetection.io را به نسخه 0.60.1 یا نسخه‌های جدیدتر به‌روزرسانی کنند. لازم به ذکر است که کد اکسپلویت (Exploit) این آسیب‌پذیری به‌صورت عمومی منتشر شده است، هرچند گزارشی مبنی بر بهره‌برداری گسترده از آن در محیط‌های عملیاتی ثبت نشده است.
