Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidad en changedetection.io (CVE-2024-56509)

Gravedad CVSS v3.1:
ALTA
Tipo:
CWE-22 Limitación incorrecta de nombre de ruta a un directorio restringido (Path Traversal)
Fecha de publicación:
27/12/2024
Última modificación:
27/12/2024

Descripción

changedetection.io es un servicio gratuito de código abierto de detección de cambios en páginas web, vigilancia de sitios web, monitorización de reabastecimiento y notificación. La validación incorrecta de la entrada en la aplicación puede permitir a los atacantes realizar ataques de lectura local de archivos (LFR) o de path traversal. Estas vulnerabilidades ocurren cuando la entrada del usuario se utiliza para construir rutas de archivos sin una desinfección o validación adecuadas. Por ejemplo, el uso de file:../../../etc/passwd o file: ///etc/passwd puede eludir validaciones débiles y permitir el acceso no autorizado a archivos confidenciales. Aunque esto se ha solucionado en un parche anterior, sigue siendo insuficiente. Esta vulnerabilidad se ha corregido en la versión 0.48.05.