ChangeDetection.io API 端点未使用 API 令牌进行保护 (CVE-2024-23329)
CVE编号
CVE-2024-23329利用情况
暂无补丁情况
N/A披露时间
2024-01-20漏洞描述
changedetection.io是一个开源工具，用于监控网站内容的变化。在受影响的版本中，任何未经授权的用户都可以访问API端点`/api/v1/watch/<uuid>/history`。因此，任何未经授权的用户都可以检查他人的监控历史记录。然而，由于未经授权的用户首先需要知道监控UUID，并且监控历史记录端点本身仅返回服务器上快照的路径，因此对用户数据隐私的影响很小。该问题已在版本0.45.13中得到解决。建议用户升级。对于这个漏洞，目前没有已知的解决方法。解决建议
建议您更新当前系统或软件至最新版，完成漏洞的修复。
参考链接 |
|
|---|---|
| https://github.com/dgtlmoon/changedetection.io/commit/402f1e47e78ecd155b1e90f... | |
| https://github.com/dgtlmoon/changedetection.io/security/advisories/GHSA-hcvp-... |
- 攻击路径 网络
- 攻击复杂度 高
- 权限要求 无
- 影响范围 未更改
- 用户交互 无
- 可用性 无
- 保密性 低
- 完整性 无
| CWE-ID | 漏洞类型 |
| CWE-863 | 授权机制不正确 |
Exp相关链接
版权声明
本站原创文章转载请注明文章出处及链接，谢谢合作！
评论