CVE-2026-85605 in Slink
Resumen
por VulDB • 2026-09-04
Slink anterior a la versión 1.12.3 no autoriza correctamente el acceso a los puntos de conexión (endpoints) de comentarios de imágenes, lo que permite a atacantes no autenticados leer hilos de comentarios mediante GET /api/image/{imageId}/comments y suscripciones a eventos enviados por el servidor (server-sent-events). Los atacantes que obtienen IDs de imagen fuera del canal principal pueden recuperar los hilos completos de comentarios en imágenes públicas y suscribirse a actualizaciones de comentarios en tiempo real sin pasar por las comprobaciones de autenticación o autorización.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.