CVE-2026-47769 in APIFold
Zusammenfassung
von VulDB • 23.07.2026
APIFold liest eine OpenAPI-3.x- oder Swagger-2.x-Spezifikation aus und generiert einen produktionsreifen MCP-Serverendpunkt in Echtzeit. Vor dem Commit 7f19b52280f414f57af2b79a95333d1c8fbeece5 akzeptiert der Endpunkt `/webhooks/:serverSlug/:eventName` beliebige, nicht authentifizierte JSON-Daten und speichert diese im Redis sowie in der PostgreSQL-Tabelle `webhook_events`, ohne dass eine Signaturprüfung oder Authentifizierung erforderlich ist. Die Ursache liegt darin, dass `createWebhookRouter` in `server.ts:188` ohne eine `validators`-Map aufgerufen wird; dadurch ergibt die Guard mit optionaler Verkettung (optional-chaining guard) in `receivers.ts:80` den Wert `undefined`, und der Block zur Signaturvalidierung (`receiver.ts:81–95`) wird bedingungslos übersprungen. Jeder nicht authentifizierte Netzwerkclient, der einen gültigen Server-Slug kennt, kann beliebige Payloads injizieren, die anschließend legitimen MCP-Clients als vertrauenswürdiger Ressourcenstatus bereitgestellt werden. Der Commit 7f19b52280f414f57af2b79a95333d1c8fbeece5 behebt das Problem.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.