changedetection.io possui vulnerabilidade de Zip Slip na funcionalidade de restauração de backup

A vulnerabilidade de Zip Slip no changedetection-io permite que um invasor utilize sequências '..' dentro de arquivos ZIP para escapar do diretório de extração, sobrescrevendo arquivos críticos do sistema. Isso pode levar à execução remota de código, roubo de dados confidenciais ou até mesmo à tomada de controle total do sistema afetado. O impacto é amplificado se o changedetection-io for executado com privilégios elevados ou se os arquivos sobrescritos forem componentes essenciais da aplicação. A exploração bem-sucedida pode comprometer a integridade e a confidencialidade dos dados armazenados e processados pelo sistema.

Systems running changedetection-io versions prior to 0.54.4 are at risk. This includes users who have not applied security updates and those who rely on the backup and restore functionality for data protection. Shared hosting environments where multiple users share the same server instance are particularly vulnerable, as a compromised user could potentially exploit this vulnerability to affect other users.

• python / server:

find / -name 'changedetection-io' -type d -exec grep -i 'zipfile.ZipFile' {}/ -H 2>/dev/null | grep -i 'extractall' 

• generic web:

curl -I <changedetection-io_url>/restore_backup.php # Check for endpoint exposure

1. 2026-03-04Disclosure

   disclosure

1. Reservado2026-03-03
2. Publicada2026-03-04
3. Modificada2026-03-06
4. EPSS atualizado2026-03-23

A mitigação primária para CVE-2026-29065 é atualizar o changedetection-io para a versão 0.54.4 ou superior, que inclui a correção para a vulnerabilidade de Zip Slip. Se a atualização imediata não for possível, implemente uma validação rigorosa dos caminhos de extração dos arquivos ZIP antes de chamar a função zipfile.extractall(). Considere o uso de uma lista de permissões (whitelist) para garantir que os arquivos sejam extraídos apenas para o diretório esperado. Além disso, configure um Web Application Firewall (WAF) para bloquear solicitações que contenham sequências '..' nos nomes dos arquivos ZIP. Monitore os logs do sistema em busca de tentativas de acesso a arquivos fora do diretório esperado.