概要
changedetection.ioは、Webページの変更を監視・通知するオープンソースツールです。本脆弱性は、バックアップリストア機能に存在するZip Slip（パストラバーサル）の問題です。
バックアップリストア処理において、アップロードされたZIPアーカイブ内のファイルパスに対する適切な検証が行われていないため、攻撃者は「../」を含むパスを持つファイルをZIPアーカイブに含めることで、意図されたディレクトリの外にファイルを書き込むことが可能です。これにより、サーバー上の任意のファイルが上書きされ、設定ファイルの改ざんや悪意のあるコードの配置による遠隔コード実行につながる恐れがあります。
changedetection.ioをセルフホストで運用している場合は、速やかにバージョン0.54.4以降へアップデートしてください。アップデートが即座に適用できない場合は、バックアップリストア機能へのアクセスを信頼できる管理者のみに制限することが推奨されます。
CVSSベクトル
| 項目 | 値 |
|---|---|
| CVSSスコア | 9.1 |
| 深刻度 | Critical |
| CWE | CWE-22 (パストラバーサル) |
影響を受けるソフトウェア
| 製品 | ベンダー | 影響バージョン |
|---|---|---|
| changedetection.io | dgtlmoon | < 0.54.4 |
修正バージョンと回避策
- 修正バージョン: changedetection.io 0.54.4
- 暫定回避策: バックアップリストア機能へのアクセスを信頼できる管理者のみに制限する。外部からのバックアップファイルのアップロードを禁止する
関連リンク
データソース: NVD (NIST) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。