製品・ソフトウェアに関する情報
Vulnerability Search
Web TechnologiesのChange Detectionにおけるファイル名やパス名の外部制御に関する脆弱性
Title Web TechnologiesのChange Detectionにおけるファイル名やパス名の外部制御に関する脆弱性
Summary

changedetection.ioは無料のオープンソースのウェブページ変更検出ツールです。バージョン0.55.1以前では、バックアップファイルから復元された攻撃者が制御するスナップショットパスを信頼してしまうことで脆弱性が発生します。脆弱な処理の流れはバックアップ復元ロジックから始まります。バックアップZIPが復元されると、アプリケーションはアーカイブを展開し、復元された各監視UUIDディレクトリをshutil.copytree(entry.path, dst_dir)を使って直接ライブデータストアにコピーします。これにより、復元された監視ディレクトリ内の攻撃者制御下にあるファイル（history.txtを含む）が保持されます。復元後、アプリケーションは監視履歴プロパティ内のhistory.txtを解析し、ターゲットとされたローカルファイルの内容を返します。この脆弱性はバージョン0.55.1で修正されました。

Possible impacts 当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う情報について、書き換えは発生しません。 さらに、当該ソフトウェアは停止しません。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 
Solution

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

Publication Date May 12, 2026, midnight
Registration Date May 18, 2026, 11:25 a.m.
Last Update May 18, 2026, 11:25 a.m.
CVSS3.0 : 重要
Score 7.5
Vector CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Affected System
Web Technologies
Change Detection 0.55.1 未満
CVE (情報セキュリティ 共通脆弱性識別子)
CWE (共通脆弱性タイプ一覧)
ベンダー情報
Change Log
No Changed Details Date of change
1 [2026年05月18日]
  掲載		 May 18, 2026, 11:25 a.m.
NVD Vulnerability Information
CVE-2026-43891
Summary

changedetection.io is a free open source web page change detection tool. Prior to 0.55.1, the vulnerability is caused by trusting attacker-controlled snapshot paths restored from backup files. The vulnerable flow starts in the backup restore logic. When a backup ZIP is restored, the application extracts the archive and copies each restored watch UUID directory directly into the live datastore using shutil.copytree(entry.path, dst_dir). This preserves attacker-controlled files inside the restored watch directory, including history.txt. After restore, the application parses history.txt in the watch history property and returns the contents of the targeted local file. This vulnerability is fixed in 0.55.1.

Publication Date May 13, 2026, 3:17 a.m.
Registration Date May 13, 2026, 4:15 a.m.
Last Update May 15, 2026, 11:20 p.m.
Affected software configurations
Configuration1 or higher or less more than less than
cpe:2.3:a:webtechnologies:changedetection:*:*:*:*:*:*:*:* 0.55.1
Related information, measures and tools
Common Vulnerabilities List