changedetection.io は Watch URLs を介した SSRF に脆弱

このSSRF脆弱性を悪用されると、攻撃者は内部ネットワーク上の機密情報にアクセスできる可能性があります。例えば、内部のデータベースやAPIエンドポイントにアクセスし、認証情報を盗み出したり、機密データを窃取したりすることが考えられます。また、内部ネットワーク上の他のシステムへの攻撃の足がかりとして利用される可能性もあります。特に、changedetection-ioが内部ネットワークに公開されている場合、攻撃の影響範囲は広がる可能性があります。類似のSSRF脆弱性は、内部ネットワークへの不正アクセスや情報漏洩に繋がる重大なリスクをもたらします。

Organizations running changedetection-io, particularly those with default configurations (no password protection) or those exposing the application to untrusted networks, are at significant risk. Shared hosting environments where users can add custom watch URLs are also particularly vulnerable.

• python / server:

journalctl -u changedetection-io -g 'SSRF' --since "1h"

• generic web:

curl -I http://<changedetection-io-ip>/watch/ -s | grep 'Server:'

1. 2026-02-25Disclosure

   disclosure

1. 予約済み2026-02-23
2. 公開日2026-02-25
3. EPSS 更新日2026-03-23

まず、affectedバージョンを使用している場合は、速やかにバージョン0.54.1以上にアップデートしてください。アップデートが困難な場合は、監視対象のURLに、内部ネットワークのIPアドレス範囲（169.254.169.254、10.0.0.1、127.0.0.1など）が含まれていないか確認し、該当するURLを監視対象から除外してください。WAF（Web Application Firewall）を導入し、SSRF攻撃を検知・防御するルールを設定することも有効です。また、changedetection-ioの実行環境を、外部ネットワークから隔離することも検討してください。アップデート後、監視機能が正常に動作することを確認してください。