changedetection.io は XPath - unparsed-text() を介した任意のファイル読み込みの脆弱性があります

この脆弱性を悪用されると、攻撃者は機密情報を含むファイル（設定ファイル、ログファイル、ソースコードなど）を読み取ることが可能になります。攻撃者は、unparsed-text()関数とXPath式を組み合わせることで、ファイルパスを操作し、意図しないファイルを読み込むことができます。この脆弱性は、特に機密情報がファイルシステム上に保存されている環境において、重大なセキュリティリスクをもたらします。攻撃者は、取得した情報を悪用して、さらなる攻撃（情報窃取、システム改ざんなど）を実行する可能性があります。

Organizations deploying changedetection-io, particularly those using it to monitor websites with sensitive content, are at risk. Shared hosting environments where multiple users have access to the changedetection-io instance are also particularly vulnerable, as an attacker could potentially exploit the vulnerability through another user's configuration.

• python / server:

find / -name 'changedetection.io' -type d -print0 | xargs -0 grep -i 'unparsed-text()' 

• generic web:

curl -I http://your-changedetection-io-instance/ | grep -i 'include_filters'

1. 2026-03-04Disclosure

   disclosure

1. 予約済み2026-03-03
2. 公開日2026-03-04
3. 更新日2026-03-06
4. EPSS 更新日2026-03-23

この脆弱性への対応策として、まずchangedetection-ioをバージョン0.54.4以上にアップデートすることを推奨します。アップデートが困難な場合は、XPath式の入力を厳密に検証し、unparsed-text()関数の使用を禁止するフィルタリングルールを実装することを検討してください。WAF（Web Application Firewall）やプロキシサーバーを使用して、悪意のあるXPath式をブロックすることも有効です。また、アプリケーションプロセスがアクセスできるファイルシステムの範囲を制限することも、リスク軽減に役立ちます。