CVE-2026-71203
中公開済み
changedetection.io - /api/v1/full-spec における認証欠如により完全な OpenAPI スキーマが開示される
- 公開済み
- 2026/08/05
- 更新済み
- 2026/08/10
- CNA の割り当て
- TuranSec
- 観察された証拠
- 2026/08/17
プライマリ CVSS
5.3/ 10中
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N0.3%
低 · 今後 30 日間
- パーセンタイル
- 17.5%
- モデルの日付
- 2026/09/21
EPSS は統計的な推定値であり、確実性や影響の尺度ではありません。 CVSS、KEV ステータス、暴露、環境と組み合わせます。
概要
changedetection.io の REST API リソースは、呼び出し元の `x-api-key` ヘッダーを検証する `@auth.check_token` デコレータによって保護されています。ただし、`/api/v1/full-spec` に登録されている Spec リソース（`changedetectionio/api/Spec.py`）は例外で、その `get` メソッドには `@auth.check_token` も `@validate_openapi_request` も付与されていません。
ソース
1PoC: changedetection.io の未認証 OpenAPI スキーマ開示 (CVE-2026-71203、重要度中 5.3)
責任ある使用
脆弱性情報は、自分が所有しているシステム、またはテストを許可されているシステムでのみ使用してください。 Kitploit は公開研究メタデータにリンクしており、エクスプロイト コードや悪意のあるペイロードは保存しません。