Plataforma
python
Componente
changedetection-io
Corregido en
0.54.5
0.54.4
La aplicación changedetection.io presenta una vulnerabilidad de Acceso Arbitrario de Archivos debido a la falta de validación de expresiones XPath. Esta falla permite a un atacante, a través del campo include_filters, utilizar la función unparsed-text() de XPath 3.0 para leer archivos del sistema operativo. La vulnerabilidad afecta a versiones de changedetection-io menores o iguales a 0.54.3. Se ha lanzado una corrección en la versión 0.54.4.
Un atacante puede explotar esta vulnerabilidad para leer cualquier archivo al que tenga acceso el proceso de changedetection.io. Esto incluye archivos de configuración, claves API, contraseñas y otros datos sensibles almacenados en el sistema. La severidad de este impacto depende de los permisos del usuario bajo el cual se ejecuta la aplicación. En entornos donde changedetection.io se ejecuta con privilegios elevados, el atacante podría obtener acceso a información crítica del sistema. La capacidad de leer archivos arbitrarios representa un riesgo significativo para la confidencialidad de los datos.
La vulnerabilidad CVE-2026-29039 fue publicada el 4 de marzo de 2026. No se ha reportado su inclusión en el KEV de CISA ni la existencia de PoCs públicas activas. Sin embargo, la naturaleza de la vulnerabilidad (acceso arbitrario de archivos) la convierte en un objetivo atractivo para los atacantes, especialmente si se combinan con credenciales comprometidas o configuraciones inseguras.
Organizations deploying changedetection-io, particularly those using it to monitor websites with sensitive content, are at risk. Shared hosting environments where multiple users have access to the changedetection-io instance are also particularly vulnerable, as an attacker could potentially exploit the vulnerability through another user's configuration.
• python / server:
find / -name 'changedetection.io' -type d -print0 | xargs -0 grep -i 'unparsed-text()' • generic web:
curl -I http://your-changedetection-io-instance/ | grep -i 'include_filters'disclosure
Estado del Exploit
EPSS
0.01% (2% percentil)
CISA SSVC
La mitigación principal es actualizar a la versión 0.54.4 de changedetection-io, que corrige la vulnerabilidad. Si la actualización no es posible de inmediato, se recomienda implementar una validación estricta de las expresiones XPath proporcionadas por el usuario. Esto puede incluir una lista blanca de funciones XPath permitidas o una validación basada en expresiones regulares para evitar el uso de unparsed-text(). Además, se recomienda limitar los permisos del usuario bajo el cual se ejecuta changedetection.io para reducir el impacto potencial de la explotación. Después de la actualización, confirme que la vulnerabilidad ha sido resuelta revisando los logs de la aplicación en busca de intentos de acceso a archivos no autorizados.
Actualice changedetection.io a la versión 0.54.4 o superior. Esta versión corrige la vulnerabilidad que permite la lectura arbitraria de archivos a través de la función unparsed-text() en las expresiones XPath.
Análisis de vulnerabilidades y alertas críticas directamente en tu correo.
CVE-2026-29039 is a HIGH severity vulnerability allowing attackers to read arbitrary files on a changedetection-io server through crafted XPath expressions. It affects versions up to 0.54.3.
You are affected if you are running changedetection-io version 0.54.3 or earlier. Check your version and upgrade immediately.
Upgrade to version 0.54.4 or later. As a temporary workaround, restrict XPath expression usage and validate user input.
There is currently no evidence of active exploitation, but the vulnerability is relatively easy to exploit.
Refer to the changedetection-io project's release notes and security advisories on their GitHub repository for the latest information.
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.
Sube tu archivo requirements.txt y te decimos al instante si estás afectado.