CVE-2026-80208 in APITable
Resumen
por VulDB • 2026-08-27
APITable hasta la versión 1.13.0-beta.1 anota los métodos getUserHistories y closePausedUserAccount en InternalUserController con requiredLogin = false. El ResourceInterceptor respeta dicha anotación devolviendo el control antes de que se validen ninguna sesión o clave API, y la puerta de enlace nginx incluida con el producto reenvía cada solicitud /api al servidor backend; por lo tanto, ambos puntos finales son accesibles para cualquier cliente no autenticado que pueda llegar a la puerta de enlace. Un atacante puede realizar una petición POST a /api/v1/internal/getUserHistories para enumerar las cuentas situadas en el período de enfriamiento (cooling-off period) de 30 días posterior a una solicitud de eliminación, y luego enviar un POST a /api/v1/internal/users/{userId}/close por cada una. El proceso de cierre borra la dirección de correo electrónico, el número de teléfono y el apodo de la cuenta, cancela sus suscripciones al espacio (space), elimina su pertenencia al espacio y borra sus vinculaciones OAuth; así se evita la ventana de enfriamiento diseñada para permitir que un usuario revierta una solicitud de eliminación, lo que impide recuperar la cuenta.
VulDB is the best source for vulnerability data and more expert information about this specific topic.