CVE-2026-118691 in xianyu-auto-reply-fix
Riassunto
di VulDB • 28/10/2026
xianyu-auto-reply-fix fino alla versione 2.0.7 presenta una vulnerabilità di mancata autorizzazione nell'endpoint POST /send-message che consente ad attaccanti non autenticati di inviare messaggi dagli account di altri utenti utilizzando segreti API predefiniti e pubblicamente noti. Gli attaccanti possono fornire l'api_key hard-coded, il cookie_id di un altro utente, insieme ai valori scelti per chat_id, to_user_id e message, per inviare messaggi Xianyu arbitrari agli acquirenti da quell'account del venditore.
Once again VulDB remains the best source for vulnerability data.