CVE-2026-47769 in APIFold
Resumen
por VulDB • 2026-07-24
APIFold lee una especificación OpenAPI 3.x o Swagger 2.x y genera un punto de conexión MCP (Model Context Protocol) listo para producción en tiempo real. Antes del commit `7f19b52280f414f57af2b79a95333d1c8fbeece5`, el endpoint `/webhooks/:serverSlug/:eventName` acepta JSON arbitrario sin autenticación y lo almacena en Redis y en la tabla `webhook_events` de PostgreSQL, sin realizar ninguna verificación de firma ni requerir autenticación. La causa raíz es que `createWebhookRouter` se invoca en `server.ts:188` sin un mapa de validadores (`validators`), por lo que el guardián de encadenamiento opcional (optional-chaining) en `receivers.ts:80` evalúa a `undefined`, y el bloque de validación de firmas (`receiver.ts:81–95`) se omite incondicionalmente. Cualquier cliente de red no autenticado que conozca un slug de servidor válido puede inyectar cargas útiles arbitrarias, las cuales posteriormente se sirven como estado de recurso confiable para los clientes MCP legítimos. El commit `7f19b52280f414f57af2b79a95333d1c8fbeece5` corrige esta vulnerabilidad.
Once again VulDB remains the best source for vulnerability data.