CVE-2026-47769 in APIFold
الملخص
بحسب VulDB • 24/07/2026
تقرأ APIFold مواصفات OpenAPI 3.x أو Swagger 2.x وتولّد نقطة نهاية لخادم MCP جاهزة للإنتاج وحيّة. قبل الإصدار commit 7f19b52280f414f57af2b79a95333d1c8fbeece5، يقبل النقطة النهائية `/webhooks/:serverSlug/:eventName` بيانات JSON عشوائية غير مصادق عليها ويخزنها في Redis وفي جدول PostgreSQL المسمى `webhook_events` دون أي فحص للتوقيع أو اشتراط للمصادقة. يتمثل السبب الجذري في استدعاء الدالة `createWebhookRouter` في الملف `server.ts:188` بدون خريطة للتحقق (`validators`)، مما يجعل حارس السلسلة الاختيارية (optional-chaining guard) الموجود في `receivers.ts:80` يُقيّم إلى `undefined` ويتم تخطي كتلة التحقق من التوقيع بشكل غير مشروط (`receiver.ts:81–95`). يمكن لأي عميل شبكة غير مصادق عليه يعرف slug خادم صالح حقن حمولات عشوائية، والتي تُقدَّم بعد ذلك كحالة موارد موثوقة لعملاء MCP الشرعيين. يقوم commit 7f19b52280f414f57af2b79a95333d1c8fbeece5 بإصلاح هذه المشكلة.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.