XXE (Entité XML externe) dans changedetection.io (CVE-2026-41895)
Résumé
Vulnérabilité dans changedetection.io (CVE-2026-41895). Des informations confidentielles peuvent être exposées. Exploitable via XXE.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
changedetection.io_XXE_01 Vulnerability Report: We discovered a XXE vulnerability in the changedetection.io project
While analyzing the code logic, it was determined that an area may lead to unintended behavior under specific conditions. With the project's security in mind, see the analysis results to discern whether this may indicate a potential security risk.
Overview
- SOURCE_VERSION:
0.54.9 (9f3a9fdc18bba404244801e5df8109e213ce9ff4) - Vulnerability type:
XXE - Finding title:
XML XPath helpers parse untrusted XML with entity resolution left to lxml defaults - Affected location:
changedetectionio/html_tools.py:287
Root Cause
xpath_filter() switches to XML mode for XML/RSS content and creates etree.XMLParser(strip_cdata=False) without explicitly disabling external entity resolution, external DTD loading, or network-backed entity lookup. The helper then parses untrusted XML bytes directly with etree.fromstring(...).
Source-to-Sink Chain
- Untrusted XML/RSS response content is fetched from monitored URLs.
- Stream detection marks the content as XML/RSS and the include-filter path invokes
xpath_filter(..., is_xml=True). xpath_filter()builds the default XML parser and callsetree.fromstring(...)atchangedetectionio/html_tools.py:287.- External entity declarations in attacker XML can be expanded by parser-default behavior in affected runtime combinations.
Exploitation Preconditions
- Attacker controls the watched XML/RSS response…
Source: GitHub Security Advisories (Global) NVD GitHub Advisory
Résumé généré automatiquement
Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.
Une vulnérabilité référencée CVE-2026-41895 a été découverte dans changedetection.io.
Des attaquants peuvent cibler un point d'entrée spécifique comme XXE à distance pour détourner le produit.
Des informations confidentielles peuvent être exposées. Score CVSS : 7.5/10.
Action : appliquez le correctif officiel de l'éditeur.
En cas de doute, contactez votre service informatique ou cherchez « changedetection.io CVE-2026-41895 » sur le site de l'éditeur.
CVE-2026-41895 (changedetection.io) — CWE-611 / CVSS v3 7.5
Vecteur d'attaque : distant (réseau) / non authentifié / sans interaction utilisateur
Surface d'attaque : XXE / DOCTYPE
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Une vulnérabilité (CWE-611) affecte changedetection.io. Les attaquants atteignent le code vulnérable via XXE sans authentification.
Consultez l'avis de l'éditeur pour les versions affectées de changedetection.io. Surface d'attaque : XXE / DOCTYPE.
Gravité : Élevée (CVSS 7.5/10). Des informations confidentielles peuvent être exposées.
Mettre à jour vers la version corrigée selon l'avis éditeur.
En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.
Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.
Actions de réponse
Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre
-
1Identify exposure identify
grep -r 'changedetection.io' . | grep -v node_modulesリポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で
changedetection.ioを grep し、稼働しているサービス・バージョンを把握する。 -
2Post-deployment verification verify
Confirm patched version is live in productionパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。
Paquets affectés
Références
- advisory nvd.nist.gov
- package github.com
- web github.com
- web github.com
- web github.com