Vulnerabilidad en changedetection.io de dgtlmoon (CVE-2026-27696)

changedetection.io es una herramienta gratuita de código abierto para la detección de cambios en páginas web. En versiones anteriores a la 0.54.1, changedetection.io es vulnerable a la Falsificación de Petición del Lado del Servidor (SSRF) porque la función de validación de URL 'is_safe_valid_url()' no valida la dirección IP resuelta de las URL de vigilancia frente a rangos de direcciones privadas, de bucle invertido o de enlace local. Un usuario autenticado (o cualquier usuario cuando no hay contraseña configurada, que es el valor predeterminado) puede añadir una vigilancia para URL de red internas. La aplicación obtiene estas URL del lado del servidor, almacena el contenido de la respuesta y lo hace visible a través de la interfaz de usuario web — lo que permite la exfiltración completa de datos de servicios internos. La versión 0.54.1 contiene una solución para el problema.