یک نقص امنیتی در نرم‌افزار changedetection.io تا نسخه 0.60.7 شناسایی شده است که به مهاجمان اجازه می‌دهد از طریق تحلیل تفاوت‌های زمانی در پاسخ‌های سرور، رمز عبور اپلیکیشن را استخراج کنند.
تحلیل فنی آسیب‌پذیری
این مشکل که تحت شناسه CVE-2026-95270 ثبت شده، در تابع check_password در فایل flask_app.py رخ می‌دهد. این نقص از نوع Observable Timing Discrepancy (CWE-208) است؛ به این معنا که زمان لازم برای مقایسه رمز عبور وارد شده با رمز عبور ذخیره شده، بسته به تعداد کاراکترهای صحیح، متفاوت است. مهاجمان می‌توانند با اندازه‌گیری دقیق این تفاوت‌های زمانی، رمز عبور را کاراکتر به کاراکتر حدس بزنند.
ارزیابی ریسک و پیچیدگی
- دسترسی: حمله به صورت Remote و بدون نیاز به احراز هویت (Unauthenticated) قابل اجرا است.
- پیچیدگی (Complexity): سطح پیچیدگی این حمله بالا (High) ارزیابی شده است. دلیل این امر نویزهای شبکه (Network Jitter)، سربار TLS و لایه‌های Reverse Proxy است که سیگنال‌های زمانی را مختل کرده و استخراج دقیق داده‌ها را دشوار می‌کند.
- تاثیر: این آسیب‌پذیری تنها بر محرمانگی (Confidentiality) رمز عبور مشترک تاثیر می‌گذارد و هیچ تاثیری بر یکپارچگی (Integrity) یا در دسترس بودن (Availability) سیستم ندارد.
در حال حاضر اکسپلویت‌های مربوط به این نقص منتشر شده است، اما به دلیل چالش‌های عملیاتی در محیط‌های شبکه، بهره‌برداری موفق از آن دشوار تلقی می‌شود.
