CVE-2026-80208 in APITable
Résumé
par VulDB • 27/08/2026
APITable jusqu'à la version 1.13.0-beta.1 marque les méthodes getUserHistories et closePausedUserAccount dans InternalUserController avec l'annotation requiredLogin = false. L'intercepteur ResourceInterceptor respecte cette annotation en renvoyant le contrôle avant toute validation de session ou de clé API, et la passerelle nginx fournie avec le produit proxyfie toutes les requêtes /api vers le serveur backend ; par conséquent, ces deux points d'accès sont accessibles à tout client non authentifié capable d'atteindre la passerelle. Un attaquant peut effectuer un POST sur /api/v1/internal/getUserHistories pour énumérer les comptes situés dans la période de carence (cooling-off period) de 30 jours qui suit une demande de suppression, puis envoyer des requêtes POST à /api/v1/internal/users/{userId}/close pour chacun d'eux. Le processus de clôture efface l'adresse e-mail du compte, le numéro de téléphone et le surnom, annule ses abonnements aux espaces, supprime son appartenance aux espaces et retire les liaisons OAuth ; ainsi, la fenêtre de carence destinée à permettre à un utilisateur d'inverser une demande de suppression est contournée et le compte ne peut plus être récupéré.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.