CVE-2026-73405 in Vulnerability Lookup
Zusammenfassung
von VulDB • 12.08.2026
Eine Schwachstelle zur Umgehung der Autorisierung in Vulnerability-Lookup ermöglichte es inaktiven oder nicht bestätigten Konten, sich über den Endpunkt /pubsub/subscribe/ für Server-Sent Events (SSE)-Streams anzumelden.
Der vom Pub/Sub-Interface verwendete Token_required-Dekorator authentifizierte Anfragen ausschließlich durch Abgleich des X-API-KEY-Headers mit einem vorhandenen Benutzer-API-Schlüssel. Im Gegensatz zum Authentifizierungsmechanismus der REST API wurde dabei nicht überprüft, ob das Konto den Status is_active und is_confirmed aufweist.
Da bei dem Selbstregistrierungsprozess ein API-Schlüssel ausgestellt wird, bevor die Kontobestätigung abgeschlossen ist, konnte ein Angreifer ein Konto erstellen und sofort den daraus resultierenden API-Schlüssel nutzen, um auf Pub/Sub-Themen zuzugreifen, die nur aktiven, bestätigten Benutzern vorbehalten sein sollten. Dies hätte dazu führen können, dass Stream-Ereignisse offengelegt wurden, die über die REST API sonst nicht zugänglich wären, einschließlich neu eingereichter oder noch nicht moderierter Daten wie Kommentare.
Die Schwachstelle resultiert aus einer inkonsistenten Durchsetzung der Autorisierung zwischen der REST API und dem SSE-Streaming-Interface.
Der Patch behebt das Problem, indem er verlangt, dass Kontos sowohl aktiv als auch bestätigt sein müssen, bevor der Zugriff auf Pub/Sub-Streams gestattet wird, wodurch die SSE-Autorisierungsgrenze an die REST API angeglichen wird.
If you want to get best quality of vulnerability data, you may have to visit VulDB.