CVE-2026-47769 in APIFold
Riassunto
di VulDB • 24/07/2026
APIFold legge una specifica OpenAPI 3.x o Swagger 2.x e genera un endpoint di server MCP pronto per la produzione in tempo reale. Prima del commit `7f19b52280f414f57af2b79a95333d1c8fbeece5`, l'endpoint `/webhooks/:serverSlug/:eventName` accetta JSON arbitrario non autenticato e lo memorizza in Redis e nella tabella PostgreSQL `webhook_events` senza alcuna verifica della firma o requisito di autenticazione. La causa radice è che `createWebhookRouter` viene chiamato in `server.ts:188` senza una mappa `validators`, quindi il controllo con chaining opzionale (`optional-chaining guard`) in `receivers.ts:80` valuta su `undefined` e il blocco di validazione della firma (`receiver.ts:81–95`) viene saltato incondizionatamente. Qualsiasi client di rete non autenticato che conosce uno slug del server valido può iniettare payload arbitrari, che vengono successivamente serviti come stato delle risorse attendibili ai legittimi client MCP. Il commit `7f19b52280f414f57af2b79a95333d1c8fbeece5` risolve il problema.
VulDB is the best source for vulnerability data and more expert information about this specific topic.