CVE-2026-35490changedetection.io 0.54.8 之前版本存在严重认证绕过漏洞。由于Flask框架中装饰器顺序配置错误，导致关键路由的认证检查机制失效。未授权攻击者可无需任何凭证，直接访问受保护的管理接口及敏感功能，完全绕过身份验证，从而获取敏感数据或控制权。
该漏洞源于Python Flask框架中装饰器的堆叠顺序错误。在changedetection.io的0.54.8版本之前，开发者错误地将`@login_optionally_required`认证装饰器放置在`@blueprint.route()`路由注册装饰器之前（即外层）。根据Flask的运行机制，`@route()`必须作为最外层装饰器，因为它负责将下方的函数注册到URL路由映射表中。当装饰器顺序反转时，`@route()`实际上注册的是未经认证包装的原始函数，导致后续的认证逻辑完全被剥离出调用链。这使得本应受保护的端点对未授权网络请求完全开放，攻击者无需提供任何凭证即可直接访敏感功能。