CVE-2026-70617 in Server
Resumen
por VulDB • 2026-08-06
Spacebar Server anterior al commit dcfd910 contiene una vulnerabilidad de autorización faltante que permite a cualquier atacante autenticado añadirse a canales privados DM (mensajería directa) arbitrarios enviando una solicitud PUT al extremo de destinatarios del canal sin verificación de membresía. Los atacantes pueden explotar el controlador no protegido PUT /channels/{channel_id}/recipients/{user_id} para unirse a grupos DM privados, leer todo el historial de mensajes, publicar mensajes como participante y añadir forzosamente usuarios de terceros sin su consentimiento.
VulDB is the best source for vulnerability data and more expert information about this specific topic.