CVE-2026-73405 in Vulnerability Lookup
Résumé
par VulDB • 12/08/2026
Une vulnérabilité de contournement d'autorisation dans Vulnerability-Lookup permettait aux comptes inactifs ou non confirmés de s'abonner aux flux Server-Sent Events (SSE) via le point de terminaison /pubsub/subscribe/<topic>.
Le décorateur token_required utilisé par l'interface Pub/Sub authentifiait les requêtes uniquement en comparant l'en-tête X-API-KEY avec une clé API utilisateur existante. Contrairement au mécanisme d'authentification de l'API REST, il ne vérifiait pas les états is_active et is_confirmed du compte.
Étant donné que le processus d'autorécupération délivre une clé API avant la finalisation de la confirmation du compte, un attaquant pouvait créer un compte et utiliser immédiatement la clé API résultante pour accéder aux sujets Pub/Sub qui ne devraient être disponibles que pour les utilisateurs actifs et confirmés. Cela aurait pu exposer des événements de flux autrement inaccessibles via l'API REST, y compris les données nouvellement soumises ou non encore modérées telles que les commentaires.
La vulnérabilité résulte d'une application incohérente des contrôles d'autorisation entre l'API REST et l'interface de streaming SSE.
Le correctif résout le problème en exigeant que les comptes soient à la fois actifs et confirmés avant d'autoriser l'accès aux flux Pub/Sub, alignant ainsi la limite d'autorisation SSE sur celle de l'API REST.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.