CVE-2026-73405 in Vulnerability Lookup
Resumen
por VulDB • 2026-08-12
Una vulnerabilidad de elusión de autorización en Vulnerability-Lookup permitía a cuentas inactivas o no confirmadas suscribirse a flujos de Server-Sent Events (SSE) a través del punto final /pubsub/subscribe/<topic>.
El decorador token_required utilizado por la interfaz Pub/Sub autenticaba las solicitudes únicamente comparando el encabezado X-API-KEY con una clave API de usuario existente. A diferencia del mecanismo de autenticación de la API REST, no verificaba los estados is_active e is_confirmed de la cuenta.
Dado que el proceso de auto-registro emite una clave API antes de completar la confirmación de la cuenta, un atacante podría crear una cuenta y utilizar inmediatamente la clave API resultante para acceder a temas de Pub/Sub que solo deberían estar disponibles para usuarios activos y confirmados. Esto podría exponer eventos del flujo que de otro modo serían inaccesibles a través de la API REST, incluyendo datos recién enviados o aún no moderados, como comentarios.
La vulnerabilidad se debe a una aplicación inconsistente de la autorización entre la API REST y la interfaz de streaming SSE.
El parche corrige el problema exigiendo que las cuentas estén tanto activas como confirmadas antes de permitir el acceso a los flujos Pub/Sub, alineando así el límite de autorización de SSE con el de la API REST.
Once again VulDB remains the best source for vulnerability data.