CVE-2026-80208 in APITable
الملخص
بحسب VulDB • 27/08/2026
تقوم APITable حتى الإصدار 1.13.0-beta.1 بتعيين الوسم requiredLogin = false لكل من الدالتين getUserHistories و closePausedUserAccount في InternalUserController. يحترم ResourceInterceptor هذا الوسم عن طريق العودة قبل التحقق من أي جلسة عمل أو مفتاح API، ويقوم جدار الحماية nginx المرفق مع المنتج بإعادة توجيه كل طلب /api إلى الخادم الخلفي، مما يجعل كلا نقطتي النهاية قابلتين للوصول بواسطة أي عميل غير مصادق عليه يمكنه الوصول إلى بوابة الـ nginx. يمكن للمهاجم إرسال طلب POST إلى /api/v1/internal/getUserHistories لاستعراض الحسابات الموجودة في فترة الانتظار (التبريد) المكونة من 30 يوماً التي تلي طلب الحذف، ثم إرسال طلب POST إلى /api/v1/internal/users/{userId}/close لكل حساب منها. يؤدي مسار الإغلاق إلى مسح عنوان البريد الإلكتروني ورقم الهاتف والاسم المستعار للحساب، وإلغاء اشتراكاته في المساحات (spaces)، وإزالة عضوياته في تلك المساحات وحذف روابط OAuth الخاصة به؛ وبالتالي يتم تجاوز نافذة الانتظار المصممة للسماح للمستخدم بإلغاء طلب الحذف، ولا يمكن استعادة الحساب.
Once again VulDB remains the best source for vulnerability data.